Ny alvorlig PHP-sikkerhedsbrist giver risiko for hackerangreb: Endnu ingen officiel sikkerhedsopdatering

PHP’s sikkerhedsteam har her til aften, den 23. oktober 2026, offentliggjort en ny alvorlig sikkerhedsadvarsel om en sårbarhed, der under bestemte betingelser kan give hackere mulighed for at udføre programkode på webservere. Sårbarheden er registreret som CVE-2026-115560, og der findes endnu ingen officiel sikkerhedsrettelse. Problemet vedrører særlige konfigurationer af PHP’s sessionshåndtering og kan få betydning for virksomheder, der anvender PHP-baserede hjemmesider og webapplikationer. Samtidig har sikkerhedsforskere registreret omfattende angrebsforsøg mod to andre kritiske PHP-sårbarheder, der blev rettet den 21. oktober 2026. Det skriver PHP.net og ICARE.DK

PHP-projektet anbefaler en midlertidig ændring af serverkonfigurationen, indtil en permanent rettelse kan udsendes ved næste ordinære opdatering.

Hvad er den nye PHP-sårbarhed CVE-2026-115560?

PHP er et af verdens mest anvendte programmeringssprog til dynamiske hjemmesider og webapplikationer. Teknologien anvendes blandt andet af WordPress, Drupal, Joomla og en lang række specialudviklede erhvervssystemer. PHP anvendes på næsten 70 procent af verdens hjemmesider. VirusTotal har desuden tidligere estimeret, at mere end 5,1 millioner PHP-servere er tilgængelige fra internettet, hvoraf omkring 3,8 millioner har mindst én åben port.

Den nye sikkerhedsbrist betegnes som en potentiel Remote Code Execution-sårbarhed, forkortet RCE. Det betyder, at en angriber under bestemte tekniske forudsætninger kan få mulighed for at afvikle programkode på en server uden at have legitim adgang til systemet.

En vellykket udnyttelse af en sådan sårbarhed kan afhængigt af serverens rettigheder og sikkerhedsopsætning medføre adgang til fortrolige oplysninger, ændringer af hjemmesiders indhold, installation af skadelige programmer eller kompromittering af tilknyttede databaser. Konsekvenserne afhænger dog af den konkrete serverkonfiguration og angriberens muligheder for at udnytte de opnåede rettigheder.

PHP’s sikkerhedsteam understreger, at den aktuelle sårbarhed ikke kan udnyttes på enhver PHP-installation. Angrebsvejen kræver en usædvanlig kombination af serverindstillinger og applikationskode, som efter udviklernes vurdering ikke forekommer særligt ofte.

Sårbarheden opstår ved særlige indstillinger for sessionshåndtering

PHP anvender sessionshåndtering til at opretholde oplysninger mellem forskellige forespørgsler fra brugere. Det kan eksempelvis være oplysninger om brugerlogin, midlertidige formularoplysninger, indkøbskurve og andre data, der skal kunne genanvendes under et længere besøg på en hjemmeside.

Den nye sikkerhedsbrist opstår i samspillet mellem PHP’s sessionsserialisering og funktionen til registrering af fremskridt ved filupload.

For at CVE-2026-115560 kan udnyttes, skal flere konkrete tekniske betingelser være opfyldt:

1. PHP-applikationen skal oprindeligt anvende php_binary eller php_serialize som værdi for session.serialize_handler.
2. Applikationen skal efterfølgende ændre denne indstilling til php under kørslen ved hjælp af funktionen ini_set().
3. Ændringen skal ske, inden funktionen session_start() aktiveres.
4. Indstillingen session.upload_progress.enabled skal samtidig være aktiveret.

Denne kombination kan ifølge PHP’s sikkerhedsteam skabe en mulighed for fjernkørsel af kode. Sårbarheden er derfor ikke generelt gældende for hjemmesider, der anvender PHP’s almindelige standardindstillinger. Applikationer, der aldrig ændrer sessionsserialiseringsmetoden under kørslen, er ikke påvirket af denne specifikke angrebsvej. PHP’s udviklere har derfor valgt at håndtere problemet inden for den almindelige udgivelsescyklus frem for at offentliggøre en ekstraordinær sikkerhedsrettelse. Det skriver PHP Security Team, 23. oktober 2026 jf.: https://www.php.net/archive/2026.php#2026-10-23-1

PHP anbefaler straks at deaktivere en bestemt funktion

Selvom der endnu ikke foreligger en permanent sikkerhedsrettelse, har PHP’s udviklere offentliggjort en konkret anbefaling til serveradministratorer. Den midlertidige beskyttelse består i at deaktivere PHP’s indbyggede registrering af uploadfremskridt. Det sker ved at anvende følgende indstilling i serverens PHP-konfiguration: https://www.php.net/archive/2026.php#2026-10-23-1

session.upload_progress.enabled=0

Indstillingen deaktiverer den sessionsbaserede funktion, der indgår i den identificerede angrebsvej. Funktionen er ifølge PHP’s officielle dokumentation normalt aktiveret som standard, hvorfor det kan være nødvendigt at foretage en aktiv ændring.

Deaktiveringen betyder ikke nødvendigvis, at hjemmesidens almindelige filuploadfunktion ophører med at fungere. Derimod kan funktioner, som specifikt benytter PHP’s indbyggede registrering af uploadfremskridt, blive påvirket. Det kan eksempelvis være applikationer, der viser brugeren, hvor stor en del af en fil der er blevet uploadet.

PHP’s sikkerhedsteam anbefaler, at ændringen foretages i en serverkonfiguration, som er aktiv, inden webserveren begynder at behandle den enkelte forespørgsel. Det kan eksempelvis være i php.ini, i den relevante PHP-FPM-konfiguration eller i webserverens centrale PHP-indstillinger.

Administratorer bør ikke alene benytte ini_set() eller en PHP-FPM-installations .user.ini til denne beskyttelse, da disse indstillinger ikke nødvendigvis træder i kraft tidligt nok i behandlingen af forespørgslen. Efter ændringen bør de relevante PHP-processer genstartes, så serverens aktive konfiguration svarer til den ønskede sikkerhedsopsætning.

Virksomheder, der allerede gennemførte denne ændring i forbindelse med PHP’s sikkerhedsadvarsel den 21. oktober 2026, behøver ifølge PHP’s udviklere ikke foretage yderligere ændringer for at imødegå den nye specifikke angrebsvej.

Kilde: PHP’s officielle dokumentation om sessionskonfiguration.

• https://www.php.net/manual/en/session.configuration.php

To andre kritiske PHP-sårbarheder er allerede blevet rettet

Den nye sikkerhedsadvarsel kommer blot to dage efter offentliggørelsen af to andre kritiske PHP-sårbarheder. Disse blev registreret som CVE-2026-109618 og CVE-2026-109619 og omtales samlet under betegnelsen PHP2Shell. Begge sårbarheder kan under bestemte forudsætninger muliggøre fjernkørsel af kode uden forudgående autentifikation. Det indebærer, at en angriber ikke nødvendigvis behøver et gyldigt brugernavn eller en adgangskode for at forsøge at udnytte sårbarhederne. Sikkerhedsfejlene er vurderet til 9,2 efter CVSS version 4.0, hvilket svarer til en kritisk alvorlighedsgrad.

• CVE-2026-109618 vedrører en fejl i PHP’s hukommelseshåndtering. Når systemet løber tør for hukommelse, kan behandlingen af en forespørgsel blive afbrudt, mens interne oplysninger endnu ikke er fuldstændigt initialiseret. Den efterfølgende oprydning kan dermed komme til at behandle ugyldige data som gyldige, hvilket kan åbne mulighed for kodeafvikling.

• CVE-2026-109619 vedrører en anden fejl, hvor interne oplysninger fra en tidligere forespørgsel kan overleve, efter at den hukommelse, som oplysningerne var knyttet til, er blevet frigivet. En senere forespørgsel, der behandles af den samme serverproces, kan dermed komme til at anvende disse ugyldige oplysninger.

PHP’s sikkerhedsteam har vurderet, at særligt Apache-installationer med mod_php er udsatte. Her er der demonstreret en angrebsmetode, hvor en ikke-autentificeret forespørgsel kan udløse sårbarheden, inden applikationens egen kode bliver udført.

Følgende PHP-versioner indeholder sikkerhedsrettelserne fra 21. oktober 2026

PHP’s udviklere anbefaler, at virksomheder straks opdaterer til de rettede versioner. For installationer, der anvender ældre versioner af PHP, kan der i visse tilfælde være tilgængelige sikkerhedsrettelser fra Linux-distributioner eller kommercielle leverandører af længerevarende support.

PHP-projektet har desuden offentliggjort begrænsede kildekoderettelser til PHP 7.4, 8.0 og 8.1, så virksomheder uden adgang til en almindelig sikkerhedsopdatering har mulighed for at gennemføre særlige tekniske rettelser.

Det er væsentligt at skelne mellem de to PHP2Shell-sårbarheder, som allerede er rettet, og den nye CVE-2026-115560, som endnu ikke har en officiel sikkerhedsrettelse.

Læs mere om vores omtale af de største sikkerhedshul i PHP’s historie:

• Ny PHP fejl, uden rettelse, kort efter en af verdens største sikkerhedsbrister
  Ny alvorlig PHP-sikkerhedsbrist giver risiko for hackerangreb: Endnu ingen officiel sikkerhedsopdatering PHP’s sikkerhedsteam har her til aften, den 23. oktober 2026, offentliggjort en ny alvorlig sikkerhedsadvarsel om en sårbarhed, der under bestemte betingelser kan give hackere mulighed for at udføre programkode på webservere. Sårbarheden er registreret som CVE-2026-115560, og der findes endnu ingen officiel sikkerhedsrettelse….
• Alvorlige kritiske huller i PHP: EU opfordrer til at tage hjemmesider offline. Path frigives senere i dag kl. 16:00
  UP2DATE: Mange offentlige websites over hele EU og USA er allerede taget ned af ejerne. De har enten slukket for servere eller sat de forskellige løsninger i WordPress, Joomla, Drupal og en masse webshops, bookingssystemer m.v. Hvis du vil nedtage trafikken kan du indsætte: session.upload_progress.enabled = Off der indsættes i PHP.INI. Dem som er nede…

Hvilken betydning har PHP-sårbarhederne for WordPress?

WordPress anvender PHP til behandling af hjemmesidens serverfunktioner, herunder generering af sider, kommunikation med databaser, brugerlogin og håndtering af plugins. Derfor kan sikkerhedsfejl i PHP have betydning for WordPress-installationer, selv om selve WordPress-systemet er opdateret.

Det er en væsentlig forskel, at WordPress, plugins, temaer og PHP ikke er det samme software. En virksomhed kan således have installeret de nyeste WordPress-opdateringer, mens webserveren fortsat anvender en PHP-version med kendte sikkerhedsfejl.

For CVE-2026-115560 er risikoen begrænset til installationer, hvor de særlige betingelser for sessionshåndtering er opfyldt. En almindelig WordPress-installation med standardkonfiguration er derfor ikke automatisk sårbar over for den nye angrebsvej.

For de to PHP2Shell-sårbarheder er risikobilledet bredere. PHP’s sikkerhedsteam har oplyst, at installationer, som behandler webforespørgsler, kan være berørt. Dette omfatter blandt andet PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed.

En virksomhed bør derfor ikke alene undersøge, hvilken WordPress-version hjemmesiden benytter, men også hvilken PHP-version og serverkonfiguration der anvendes.

Virksomheder med flere hjemmesider på samme hostingmiljø bør endvidere være opmærksomme på, at de enkelte hjemmesider kan anvende forskellige PHP-versioner og have forskellige sikkerhedsindstillinger.

Danske virksomheder bør kontrollere deres hostingmiljø

Mange danske virksomheder anvender administrerede webhoteller, hvor hostingudbyderen står for den underliggende serverdrift og installation af PHP. Det kan betyde, at virksomheden ikke selv har adgang til at ændre samtlige sikkerhedsindstillinger.

Det ændrer imidlertid ikke behovet for at kontrollere, om virksomhedens hjemmesider anvender opdaterede og understøttede PHP-versioner.

Virksomheder bør derfor som minimum kontrollere følgende forhold:

1. Hvilken PHP-version anvendes på hver enkelt hjemmeside?
2. Er sikkerhedsrettelserne til CVE-2026-109618 og CVE-2026-109619 installeret?
3. Anvender applikationen en særlig sessionskonfiguration, der kan gøre CVE-2026-115560 relevant?
4. Er funktionen session.upload_progress.enabled deaktiveret, hvis den midlertidige beskyttelse er nødvendig?
5. Har hostingudbyderen gennemført de nødvendige ændringer og genstartet relevante PHP-processer?
6. Er der foretaget gennemgang af serverlogs for mistænkelige forespørgsler?
7. Findes der fungerende sikkerhedskopier, som kan anvendes til genskabelse efter et eventuelt angreb?

Det er ikke tilstrækkeligt alene at installere sikkerhedsplugins i WordPress, hvis den underliggende PHP-installation fortsat indeholder kendte kritiske sikkerhedsfejl.

PHP’s sikkerhedsteam har udtrykkeligt oplyst, at konfigurationsændringer ikke yder fuldstændig beskyttelse mod de to PHP2Shell-sårbarheder. Installation af de relevante sikkerhedsrettelser er derfor nødvendig.

Virksomheder kan få ansvar efter databeskyttelsesforordningen

Hvis et hackerangreb medfører adgang til personoplysninger eller på anden måde kompromitterer persondatasikkerheden, kan hændelsen få retlige konsekvenser efter databeskyttelsesforordningen.

Efter Europa-Parlamentets og Rådets forordning (EU) 2016/679, artikel 32, skal dataansvarlige og databehandlere gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de konkrete risici.

Bestemmelsen indebærer blandt andet, at virksomheder skal tage hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne samt behandlingens karakter, omfang, sammenhæng og formål. Der skal endvidere tages hensyn til risiciene for fysiske personers rettigheder og frihedsrettigheder.

En virksomheds håndtering af kendte kritiske sikkerhedssårbarheder kan derfor indgå i vurderingen af, om virksomheden har etableret et passende sikkerhedsniveau. Det betyder dog ikke, at enhver manglende softwareopdatering automatisk udgør en overtrædelse af databeskyttelsesforordningen. Vurderingen afhænger af de konkrete omstændigheder.

Hvis et angreb medfører et brud på persondatasikkerheden, kan der opstå anmeldelsespligt efter artikel 33. Den dataansvarlige skal som udgangspunkt anmelde et anmeldelsespligtigt brud til den kompetente tilsynsmyndighed uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med bruddet.

Anmeldelse er ikke påkrævet, hvis det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder.

Efter artikel 34 kan virksomheden desuden være forpligtet til at underrette de berørte personer, hvis bruddet sandsynligvis indebærer en høj risiko for deres rettigheder og frihedsrettigheder. Bestemmelsen indeholder dog særlige undtagelser.

Det forhold, at en PHP-installation indeholder en sikkerhedssårbarhed, udløser således ikke i sig selv anmeldelsespligt. Der skal være tale om et faktisk brud på persondatasikkerheden, og de konkrete risici skal vurderes efter forordningens bestemmelser.

Lovgrundlag: Europa-Parlamentets og Rådets forordning (EU) 2016/679, artikel 32, 33 og 34.

PHP forventer en permanent rettelse ved næste ordinære opdatering

PHP’s sikkerhedsteam har den 23. oktober 2026 meddelt, at CVE-2026-115560 vil blive håndteret inden for den almindelige udgivelsescyklus. Baggrunden er, at udnyttelse kræver en usædvanlig kombination af serverkonfiguration og applikationskode.

En fuldstændig sikkerhedsmeddelelse og den tilhørende programrettelse forventes offentliggjort ved næste ordinære opdatering. PHP-projektet har endnu ikke i den gennemgåede meddelelse angivet præcist, hvilke kommende versionsnumre der vil indeholde rettelsen.

Indtil da anbefales deaktivering af den relevante sessionsbaserede uploadfunktion, medmindre administratorerne har dokumenteret, at applikationens konfiguration ikke kan udløse den pågældende angrebsvej.

Virksomheder bør samtidig sikre, at de allerede offentliggjorte PHP2Shell-rettelser er installeret. De to problemer kræver forskellige sikkerhedsforanstaltninger, og en ændring af sessionskonfigurationen kan ikke erstatte de nødvendige opdateringer til PHP2Shell.

Kilder og dokumentation

Kilde: HP Security Team, 23. oktober 2026: Informational advisory: Session upload progress.
Fotokredit: PHP
Personer/Firmaer/Emner/#: #PHP, #PHPSecurity, #WordPress, #Drupal, #Joomla, #Cybersikkerhed, #RCE, #PHP2Shell, #CVE2026115560, #CVE2026109618, #CVE2026109619, #GDPR, #Databeskyttelse, #Hosting, #Webserver, #Serversikkerhed, #Sikkerhedsopdateringer
Copyrights: Ⓒ 2026 Copyright by ICARE.DK – kan deles ved aktivt link til denne artikel.