Nyhet

Kritiske sårbarheter i PHP: Dette må dere gjøre

To kritiske sårbarheter i PHP, kalt PHP2shell (CVE-2026-109618 og CVE-2026-109619), kan gjøre det mulig for en angriper å kjøre kode på webserveren uten å logge inn. Alle PHP-installasjoner som håndterer webtrafikk er berørt. Oppdater umiddelbart, og start med systemer som er eksponert mot internett.

Hva har skjedd?

PHP driver en stor del av nettet, fra WordPress og Drupal til egenutviklede systemer. 21. oktober publiserte PHP-prosjektet hastesikkerhetsoppdateringer for to kritiske sårbarheter, kjent som PHP2shell. Detaljer om sårbarhetene lekket dagen før, før den planlagte publiseringen.

Hva er risikoen?
En angriper kan kjøre egen kode på webserveren med én enkelt HTTP-forespørsel, uten å logge inn. Koden kjører med webtjenestens rettigheter. Derfra kan angriperen få tilgang til data, passord og nøkler som tjenesten håndterer, og bevege seg videre inn i miljøet.

Hvor enkelt er det?
Sårbarhetene finnes i selve PHP-kjernen, ikke i applikasjonen. Angrepet skjer før applikasjonskoden kjøres. Det er derfor ikke nok at WordPress eller Drupal er oppdatert dersom PHP-versjonen under fortsatt er sårbar. Kode som angivelig utnytter sårbarhetene, sirkulerer allerede offentlig.

Hvor alvorlig er det?
Kritisk, CVSS 9,2. Den sårbare koden har eksistert siden PHP 5.4. Palo Alto Networks har identifisert over 22 millioner eksponerte instanser. Cisco Talos anslår at omtrent halvparten av alle PHP-systemer kjører versjoner som ikke lenger støttes.

Blir sårbarhetene utnyttet?
Sikkerhetsselskaper rapporterer om forsøk på utnyttelse, men det finnes foreløpig ingen offisiell bekreftelse. Sårbarhetene er ikke oppført i CISA sin katalog over kjente utnyttede sårbarheter. Følg statusen her: https://www.cisa.gov/known-exploited-vulnerabilities-catalog . Minst én europeisk myndighet har tatt nettstedet sitt offline som et forebyggende tiltak.

Oppdater nå! Ikke vent på en offisiell bekreftelse.

Oppsummering

Område	Informasjon
Sårbarheter	CVE-2026-109618 (RCE via minnekorrupsjon ved out-of-memory), CVE-2026-109619 (RCE via foreldet global tilstand)
Alvorlighetsgrad	Kritisk, CVSS v4.0 9,2 for begge
Berørte miljøer	PHP-installasjoner som håndterer webforespørsler: PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Høyest risiko ved mod_php.
Rettet i	PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35
Utnyttelse	Forsøk er rapportert, men ikke offisielt bekreftet. Foreløpig ikke oppført i CISA KEV.
Midlertidig løsning	Ingen fullgod løsning. Oppdatering er det eneste sikre tiltaket.

Fem tiltak som bør prioriteres

1. Identifiser hvor dere kjører PHP
Kartlegg webservere, applikasjoner, containere, webhotell, appliances og tredjepartsprodukter med innebygd PHP. PHP er ofte ikke synlig i virksomhetens oversikt over IT-ressurser. Dokumenter versjon, eksponering og ansvarlig eier. Start med internett-eksponerte og virksomhetskritiske systemer.

2. Oppdater og verifiser
Installer en korrigert versjon fra PHP eller fra leverandøren deres. Linux-distribusjoner og leverandører av LTS-versjoner har fått patchene på forhånd. Start alle PHP-prosesser på nytt. Kontroller versjonen i miljøet som faktisk håndterer webtrafikken, siden versjonen som vises på kommandolinjen kan tilhøre en annen installasjon.

3. Håndter versjoner uten støtte
PHP 8.1 og eldre mottar ingen feilrettinger fra PHP-prosjektet. Oppgrader, helst til 8.4 eller 8.5, siden PHP 8.2 når end of life 31. desember 2026. Hvis det ikke er mulig med en umiddelbar oppgradering, be leverandøren om tilbakeporterte sikkerhetsrettinger, og sett en ansvarlig eier og en frist.

4. Begrens eksponeringen til oppdateringen er på plass
Fjern unødvendig offentlig tilgang og isoler tjenester som ikke kan oppdateres umiddelbart. PHP-prosjektet beskriver midlertidige hardening-tiltak som reduserer enkelte angrepsveier, men som ikke gir full beskyttelse. Det er ikke tilstrekkelig å kun sette session.upload_progress.enabled=0.

5. Overvåk og undersøk
Se etter gjentatte PHP-krasj, out-of-memory-feil, uventede prosesser, nye kjørbare filer og unormale utgående forbindelser. Behold logger også fra perioden før oppdateringen.

Les mer: https://www.php.net/archive/2026.php#2026-10-21-5

Kompenserende tiltak i mellomtiden

Patchingen kan ta tid, spesielt i eldre systemer. Inntil oppdateringene er installert, kan IPS og virtuell patching i brannmuren redusere risikoen for offentlig tilgjengelige PHP-applikasjoner. Dette erstatter ikke oppdatering.

Palo Alto Networks

• Frontier Virtual Patching (ATP Plus) på PAN-OS 12.2.4 eller nyere: Threat ID 543004, publisert 20. oktober, før den offentlige lanseringen.
• Threat Prevention: Threat ID 543004, 97622, 97623, 97624 og 97625. Krever Applications and Threats Content-versjon 9162 eller nyere.

Cisco Secure Firewall

• Snort SID 67359, 67360 og 67375, også tilgjengelig i Snort Community Ruleset.

Forutsetninger for at beskyttelsen skal fungere

En aktivert signatur betyr ikke nødvendigvis at applikasjonen er beskyttet. Kontroller følgende:

1. Trafikken passerer inspeksjonen. Trafikken til applikasjonen må gå gjennom brannmuren eller regelen der beskyttelsen er aktivert.
2. Kryptert trafikk inspiseres. Uten innkommende TLS-dekryptering, eller inspeksjon etter TLS-terminering, kan ikke brannmuren se angrepet. De fleste webapplikasjoner bruker HTTPS.
3. Beskyttelsen blokkerer. Signaturene må være aktive med handlingen block eller reset i profilen eller policyen som er knyttet til regelen.
4. Signaturene er oppdaterte. Innholds- og regelversjonen må være den leverandøren spesifiserer.
5. Effekten er verifisert. Kontroller i loggene at trafikken blir inspisert, og at signaturene faktisk kan fange opp angrepet.

Leverandørene oppgir at løsningene dekker disse sårbarhetene. Det er imidlertid for tidlig å si hvor komplett beskyttelsen er. Aktiver beskyttelsen, men fortsett å patche.

Cisco og Palo Alto Networks

Sårbarhetene kan også påvirke leverandørenes egne produkter. Vi følger særlig med på Cisco og Palo Alto Networks. Leverandørenes sikkerhetsvarsler er den autoritative kilden til gjeldende produktstatus og oppdateres fortløpende.

Palo Alto Networks

PAN-OS og Panorama er berørt. Korrigerte versjoner er ennå ikke publisert. Prisma Access og Cloud NGFW er ikke berørt.

Risikoen er størst dersom administrasjonsgrensesnittet er tilgjengelig fra internett. Det bør aldri være tilfelle. Begrens tilgangen til betrodde interne adresser, helst via en dedikert jump host. For at Threat Prevention skal beskytte administrasjonstrafikk, oppgir Palo Alto ytterligere konfigurasjonskrav.

Les mer: Palo Alto Networks Security Advisory

Cisco

Cisco undersøker hvilke produkter og skytjenester som er berørt. Ingen produkter er foreløpig bekreftet sårbare. Blant løsningene som vurderes, er ISE, Catalyst Center, Catalyst SD-WAN Manager, Expressway, Secure Access og Umbrella.

«Under investigation» betyr at vurderingen fortsatt pågår.

Les mer: Cisco Security Advisory

Mistenker dere et innbrudd?

Å installere oppdateringer fjerner ikke en angriper som allerede har fått tilgang. Vårt Incident Respons-team kan hjelpe dere med å undersøke mistenkelig aktivitet og begrense skadeomfanget.

Oppdateringslogg

Dato	Endring
22. oktober 2026	Første publisering

Kilder

• PHP: Security advisory, update now 
• Palo Alto Networks Security Advisory CVE-2026-109618 
• Unit 42 Threat Brief 
• Cisco Security Advisory 
• Cisco Talos: Two critical RCEs in PHP core 
• CERT-EU Security Advisory 2026-018 
• CISA Known Exploited Vulnerabilities Catalog 

Om våre eksperter