PHP har udsendt nødopdateringer: Opdater nu til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35

Det er rapporteret af VirusTotal estimates, at der er over 5.1 million PHP servere som er udsat for dette sikkerhedshul, der giver fuld adgang til alt. En del af disse servere har ikke alle porte åbne, med ca. 3.8 millioner har mindst 1 port åben. Det skriver ICARE SECURITY A/S i en nødudendelse i dag. PHP’s sikkerhedsteam har udsendt nødopdateringer for de to kritiske sårbarheder CVE-2026-109618 og CVE-2026-109619, som samlet går under navnet PHP2Shell. Rettelserne findes i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, og PHP-teamet understreger, at kun en opdatering beskytter serveren fuldt ud.

Statsledere og sikkerhedseksperter opfordrer til at slukke for servernes adgang til Internettet, indtil alle servere er opdateret. Opdateringerne blev offentliggjort omkring kl. 13.45 UTC, lidt før det annoncerede tidspunkt kl. 14.00 UTC. henimod 80% af alverdens servere er eksponeret fordi så mange bruger Linux og PHP.

Det Hvide Hus blev orienteret den 16. okt. så der har åbenbart været arbejdet på højtryk for rettelser.

Hvilke versioner er sikre?

PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 indeholder rettelserne til begge PHP2Shell huller (CVE-2026-109618 og CVE-2026-109619), så de er ikke sårbare over for dem.

Allerede hackede servere er ikke rettet af opdateringen. Hackere har haft 10 år til at hacke dine servere. Opdateringen lukker hullet, men fjerner ikke en bagdør, hvis serveren blev angrebet, før den blev opdateret. Angreb var i gang allerede før rettelsen kom, så tjek logfiler, nye administratorbrugere og ukendte PHP filer efter opdateringen. Kontakt derfor os på 31971111 (Redteam) eller din sikkerhedsekspert. Linux distributioner kan dog have andre versionsnumre. Bruger serveren PHP fra fx Debian, Ubuntu eller Red Hat, kan rettelsen være lagt ind i en pakke med et andet versionsnummer. Spørg i så fald hostingudbyderen, om pakken indeholder rettelserne til de to CVE numre.

Fejlene blev fundet af Wiz Research, Calif og OpenAI’s Codex Security team i samarbejde med PHP’s sikkerhedsteam og Googles Gemini team om rettelsen. Den bagvedliggende kode har ligget i PHP i mere end et årti.

“Det er ukendt om der er sket udnyttelser i de seneste 10 år. Vi anbefaler derfor at skanne alle servere, alle tilsluttede linux computere, backup, hukommelse samt checke alle adgange via SSH.

Alle PHP Versioner er omfattet og står pivåbne uden rettelserne

Sårbarhederne rammer således alle PHP installationer, der håndterer webforespørgsler, herunder PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. PHP vurderer selv, at risikoen er størst for mod_php, hvor en demonstreret angrebsmetode kan udløses af en forespørgsel uden login, inden nogen applikationskode overhovedet kører. Dette kaldes for en 0-dages sårbarhed af værste slags.

9,2 ud af 10 på international alvorsskala

Sikkerhedsrisikoen er på 9,2 ud af 10 på den skala som CVSS (Common Vulnerability Scoring System) benytter. Det en international skala til at måle alvorlighedsgraden af sikkerhedssårbarheder i it-systemer. Cert-EU, er en af EU’s tværinstitutionelle computerberedskab og cybersikkerhedstjeneste og her sammen med hundredvis andre anbefaler man at slukke for internetadgang og opdatere i aften. Ikke i morgen. Normalt når sikkerhedshuller af denne kaliber slipper fri, tager det få timer før kriminelle scannere alle porte på Linux serverne.

“Dette er den værste sikkerhedshændelse jeg nogensinde har oplevet. Derfor sluk for adgang og opdater.”

Det siger Jesper Christiansen, ICARE SECURITY A/S.

Angreb var i gang før rettelsen

Inden rettelserne blev frigivet, bekræftede Cloudflare’s teknologidirektør Dane Knecht, at firmaet allerede så de første angreb mod de to sårbarheder. Cloudflare havde på forhånd indført regler i sin web application firewall mod kendte angrebsmetoder, men understregede, at beskyttelsen kun er midlertidig.

Midlertidige tiltag hvis du ikke kan opdatere straks

PHP’s kerneudvikler Gina Peter Banyard har advaret om, at ingen midlertidige tiltag blokerer angreb fuldt ud, og at de officielle opdateringer er det eneste permanente forsvar. PHP har dog offentliggjort tiltag, der kan mindske risikoen for nogle angrebsveje:

Sårbarhed	Midlertidigt tiltag
CVE-2026-109618	Sæt memory_limit=-1, helst så applikationer ikke kan ændre det, fx med php_admin_value i FPM pool eller Apache konfiguration
CVE-2026-109618	Sæt en lav post_max_size: 8M uden filupload, 32M hvis upload er nødvendigt
CVE-2026-109618	Brug container eller cgroup grænser, så kun den berørte proces lukkes
CVE-2026-109619	Sæt session.upload_progress.enabled=0 og genstart alle workers
CVE-2026-109619	På PHP 8.5: Sæt fatal_error_backtraces=0 og genstart alle workers
CVE-2026-109619	Fjern ugyldige eller forældede indstillinger, der giver advarsler før initialisering
CVE-2026-109619	Ret fatale fejl og timeouts, som en angriber kan udløse, fx i upload og import

Bemærk, at det IKKE hjælper at skjule advarsler med error_reporting, display_errors eller @.

Opdatering af WordPress er ikke nok

Fejlen sidder i selve PHP og ikke i WordPress, plugins eller temaer. Det er derfor ikke nok at opdatere WordPress; selve PHP versionen på serveren skal opdateres. Find versionen i WordPress under Værktøjer, Webstedets tilstand, Info, Server, og bed hostingudbyderen om skriftlig bekræftelse på, at serveren kører en af de rettede versioner.

Kilde:	The Hacker News, CyberScoop, Huntress, Cyber Kendra, Upwind, PHP Security Team, Wiz Research, Calif, OpenAI, Cloudflare, NCSC, VirusTotal, Jesper Christiansen, ICARE SCURITY A/S.
Fotokredit:	PHP udgiveren
Personer/Firmaer/Emner/#:	#PHP, #PHP2Shell, #CVE2026109618, #CVE2026109619, #PHPSecurityTeam, #GinaPeterBanyard, #WizResearch, #Calif, #OpenAI, #Codex, #Google, #Gemini, #Cloudflare, #DaneKnecht, #NCSC, #VirusTotal, #watchTowr, #PHPFPM, #Apache, #modphp, #FrankenPHP, #LiteSpeed, #WordPress, #Joomla, #Drupal, #RCE, #Sårbarhed, #ITsikkerhed, #Cybersikkerhed,
Copyrights:	Ⓒ 2026 Copyright by ICARE.DK, kan deles ved aktivt link til denne artikel.