Nyhet

Kritiske sårbarheter i PHP: Dette må dere gjøre

To kritiske sårbarheter i PHP, kalt PHP2shell (CVE-2026-109618 og CVE-2026-109619), kan gjøre det mulig for en angriper å kjøre kode på webserveren uten å logge inn. Alle PHP-installasjoner som håndterer webtrafikk er berørt. Oppdater umiddelbart, og start med systemer som er eksponert mot internett.

Oppdatering 27. oktober 2026

Session upload progress: PHP anbefaler at session.upload_progress.enabled=0 settes frem til neste ordinære feilrettingsversjon, også på systemer som allerede er oppdatert. Anbefalingen gjelder en separat og mindre sannsynlig sårbarhet, CVE-2026-115560. Hvis dere allerede har deaktivert innstillingen, bør den forbli deaktivert.

PHP på Windows: Bruk de oppdaterte pakkene 8.5.12-1, 8.4.27-1, 8.3.36-1 eller 8.2.35-1. De inneholder også en rettelse for en separat sårbarhet i Brotli, CVE-2026-111497.

Leverandører: Cisco har bekreftet hvilke produkter som er berørt, og Palo Alto Networks publiserer hotfixer for PAN-OS. Se avsnittene lenger ned.

Utnyttelse: Cisco Talos rapporterer om forsøk på utnyttelse fra få timer etter publisering, hovedsakelig skanning.

→ PHP: råd om session upload progress
→ PHP: oppdaterte Windows-pakker

Hva har skjedd?

PHP driver en stor del av nettet, fra WordPress og Drupal til egenutviklede systemer. 21. oktober publiserte PHP-prosjektet hastesikkerhetsoppdateringer for to kritiske sårbarheter, kjent som PHP2shell. Detaljer om sårbarhetene lekket dagen før, før den planlagte publiseringen.

Hva er risikoen?

En angriper kan ved hjelp av spesielt utformede HTTP-forespørsler utnytte sårbarhetene til å kjøre kode uten å logge inn. Hvor enkelt det er å lykkes, avhenger av miljøet. Koden kjører med webtjenestens rettigheter. Derfra kan angriperen få tilgang til data, passord og nøkler som tjenesten håndterer, og bevege seg videre inn i miljøet.

Hvor enkelt er det?

Sårbarhetene finnes i selve PHP-kjernen, ikke i applikasjonen. PHP vurderer risikoen som høyest for Apache med mod_php, der et demonstrert angrep kan utløses før applikasjonskoden kjøres. Det er derfor ikke nok at WordPress eller Drupal er oppdatert dersom PHP-versjonen under fortsatt er sårbar. Kode som angivelig utnytter sårbarhetene, sirkulerer allerede offentlig.

Hvor alvorlig er det?

Kritisk, CVSS 9,2. Den sårbare koden har eksistert siden PHP 5.4. Palo Alto Networks har identifisert over 22 millioner eksponerte instanser. Cisco Talos anslår at omtrent halvparten av alle PHP-systemer kjører versjoner som ikke lenger støttes.

Blir sårbarhetene utnyttet?

Cisco Talos og flere andre sikkerhetsselskaper rapporterer om forsøk på å utnytte sårbarhetene. Så langt dreier det seg hovedsakelig om skanning og ukoordinerte forsøk. CISAs katalog over kjente utnyttede sårbarheter er en supplerende kilde. At en sårbarhet ikke står i katalogen, betyr ikke at den ikke blir utnyttet.

Oppdater nå! Ikke vent på en offisiell bekreftelse.

Oppsummering

Område	Informasjon
Sårbarheter	CVE-2026-109618 (RCE via minnekorrupsjon ved out-of-memory), CVE-2026-109619 (RCE via foreldet global tilstand)
Alvorlighetsgrad	Kritisk, CVSS v4.0 9,2 for begge
Berørte miljøer	PHP-installasjoner som håndterer webforespørsler: PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Høyest risiko ved mod_php.
Rettet i	PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. På Windows: de oppdaterte pakkene med suffikset -1.
Utnyttelse	Det rapporteres om forsøk på utnyttelse, hovedsakelig skanning. Se leverandørenes statusoppdateringer og CISA KEV som supplerende kilde.
Midlertidig løsning	Ingen fullgod løsning. Oppdatering er det eneste sikre tiltaket.

Fem tiltak som bør prioriteres

1. Identifiser hvor dere kjører PHP

Kartlegg webservere, applikasjoner, containere, webhotell, appliances og tredjepartsprodukter med innebygd PHP. PHP er ofte ikke synlig i virksomhetens oversikt over IT-ressurser. Dokumenter versjon, eksponering og ansvarlig eier. Start med internett-eksponerte og virksomhetskritiske systemer.

2. Oppdater og verifiser

Installer en korrigert versjon fra PHP eller fra leverandøren deres. Linux-distribusjoner og leverandører av LTS-versjoner har fått patchene på forhånd. Start alle PHP-prosesser på nytt. Kontroller versjonen i miljøet som faktisk håndterer webtrafikken, siden versjonen som vises på kommandolinjen kan tilhøre en annen installasjon.

Hvis dere kjører PHP på Windows, installer pakkene med suffikset -1 og kontroller pakkeversjonen, siden selve PHP-versjonen er uendret.

3. Håndter versjoner uten støtte

PHP 8.1 og eldre mottar ikke lenger ordinære sikkerhetsoppdateringer fra PHP-prosjektet. Oppgrader, helst til 8.4 eller 8.5, siden PHP 8.2 når end of life 31. desember 2026. Hvis det ikke er mulig med en umiddelbar oppgradering, be leverandøren om tilbakeporterte sikkerhetsrettinger, og sett en ansvarlig eier og en frist.

4. Begrens eksponeringen til oppdateringen er på plass

Fjern unødvendig offentlig tilgang og isoler tjenester som ikke kan oppdateres umiddelbart. PHP-prosjektet beskriver midlertidige hardening-tiltak som reduserer enkelte angrepsveier, men som ikke gir full beskyttelse.

Å kun sette session.upload_progress.enabled=0 erstatter ikke oppdatering. PHP anbefaler imidlertid nå denne innstillingen også etter oppdatering, for en separat angrepsvei (CVE-2026-115560). Applikasjoner som aldri endrer session.serialize_handler under kjøring, kan ifølge PHP beholde funksjonen aktivert. Gjør endringen i serverkonfigurasjonen og start alle PHP-prosesser på nytt.

5. Overvåk og undersøk

Se etter gjentatte PHP-krasj, out-of-memory-feil, uventede prosesser, nye kjørbare filer og unormale utgående forbindelser. Behold logger også fra perioden før oppdateringen.

Se avsnittet Oppdag og undersøk mistenkelig aktivitet lenger ned.

Les mer: https://www.php.net/archive/2026.php#2026-10-21-5

Kompenserende tiltak i mellomtiden

Patchingen kan ta tid, spesielt i eldre systemer. Inntil oppdateringene er installert, kan IPS og virtuell patching i brannmuren redusere risikoen for offentlig tilgjengelige PHP-applikasjoner. Dette erstatter ikke oppdatering.

Palo Alto Networks

• Frontier Virtual Patching (ATP Plus) på PAN-OS 12.2.4 eller nyere: Threat ID 543004, publisert 20. oktober, før den offentlige lanseringen.
• Threat Prevention: Threat ID 543004, 97622, 97623, 97624, 97625, 97643, 97647, 97649, 97652, 97653, 97656, 97657, 97658, 97659, 97662, 97663, 97664, 97670, 97671, 97672, 97673, 97674, 97676, 97677 og 97678. Krever Applications and Threats Content-versjon 9162, 9163, 9164 eller nyere. Listen oppdateres fortløpende, så se sikkerhetsvarslet for gjeldende versjon.

→ Les mer: CVE-2026-109618 & 19 – Impact of Critical Vulnerabilities in PHP

Cisco Secure Firewall og Snort

Cisco Talos har publisert Snort-regler med SID 67359, 67360 og 67375. Ifølge Talos er reglene også tilgjengelige i Snort Community Ruleset. Kontroller at reglene er installert, aktivert og satt til å blokkere i policyen som inspiserer trafikken til PHP-applikasjonen.

→ Les mer: Cisco Talos: analyse og signaturdekning.ompenserende tiltak i mellomtiden

Patchingen kan ta tid, spesielt i eldre systemer. Inntil oppdateringene er installert, kan IPS og virtuell patching i brannmuren redusere risikoen for offentlig tilgjengelige PHP-applikasjoner. Dette erstatter ikke oppdatering.

Forutsetninger for at beskyttelsen skal fungere

En aktivert signatur betyr ikke nødvendigvis at applikasjonen er beskyttet. Kontroller følgende:

1. Trafikken passerer inspeksjonen. Trafikken til applikasjonen må gå gjennom brannmuren eller regelen der beskyttelsen er aktivert.
2. Kryptert trafikk inspiseres. Uten innkommende TLS-dekryptering, eller inspeksjon etter TLS-terminering, kan ikke brannmuren se angrepet. De fleste webapplikasjoner bruker HTTPS.
3. Beskyttelsen blokkerer. Signaturene må være aktive med handlingen block eller reset i profilen eller policyen som er knyttet til regelen.
4. Signaturene er oppdaterte. Innholds- og regelversjonen må være den leverandøren spesifiserer.
5. Effekten er verifisert. Kontroller i loggene at trafikken blir inspisert, og at riktig sikkerhetsprofil brukes. At dere ikke ser treff på signaturene, er ikke i seg selv et bevis på at beskyttelsen fungerer.

Leverandørene oppgir at løsningene dekker disse sårbarhetene. Det er imidlertid for tidlig å si hvor komplett beskyttelsen er. Aktiver beskyttelsen, men fortsett å patche.

Oppdag og undersøk mistenkelig aktivitet

Oppdatering må kombineres med en kontroll av hva som allerede kan ha skjedd. Gå gjennom web-, PHP- og endpointlogger og se spesielt etter:

• Avvikende opplastinger og sesjonsdata, for eksempel mistenkelige multipart-forespørsler eller PHP-kode og serialiserte data i opplastede filnavn.
• Store POST-forespørsler etterfulgt av HTTP 500, spesielt i kombinasjon med minnefeil i PHP eller gjentatte krasj i PHP-prosesser.
• Uventede prosesser fra webtjenesten, for eksempel at webserveren eller en PHP-prosess starter et kommandoskall.

Ett enkelt treff er ikke bevis på at et innbrudd har lykkes. Se webtrafikk, feilmeldinger og prosesshendelser for samme server og tidspunkt i sammenheng.

Ferdige deteksjoner

Splunk har publisert deteksjoner for PHP2shell som dekker webtrafikk, minnefeil i PHP og mistenkelig prosessaktivitet. Kontroller datakildene og tilpass reglene før de tas i bruk.

Unit 42 har publisert søk for Cortex XDR og XSIAM. Disse fanger opp mistenkelig aktivitet fra PHP-prosesser generelt og er ikke spesifikke for akkurat disse sårbarhetene.

→ Splunk: PHP2Shell Analytic Story
→ Unit 42: analyse og søk

Indikatorer (IOC)

Cisco Talos publiserer IP-adresser knyttet til observerte forsøk på utnyttelse. Adressene endres raskt, så bruk Talos’ oppdaterte liste som et supplement til atferdsbasert deteksjon. Et treff må undersøkes i riktig kontekst, og fravær av treff utelukker ikke innbrudd.

→ Cisco Talos: Indicators of Compromise

Cisco og Palo Alto Networks

Sårbarhetene kan også påvirke leverandørenes egne produkter. Vi følger særlig med på Cisco og Palo Alto Networks. Leverandørenes sikkerhetsvarsler er den autoritative kilden til gjeldende produktstatus og oppdateres fortløpende.

Palo Alto Networks

PAN-OS på brannmurer og Panorama er berørt i versjonene 10.2, 11.1, 11.2, 12.1 og 12.2. Palo Alto Networks har publisert hotfixer for flere versjoner og oppgir foreløpige datoer for resten. Se sikkerhetsvarslet for riktig oppgraderingsløp for deres versjon. Prisma Access og Cloud NGFW er ikke berørt.

Risikoen er størst dersom administrasjonsgrensesnittet er tilgjengelig fra internett. Det bør aldri være tilfelle. Begrens tilgangen til betrodde interne adresser, helst via en dedikert jump host.

For at Threat Prevention skal beskytte brannmurens egen administrasjonstrafikk, må trafikken routes via en dataplane-port, sertifikatet for innkommende administrasjonstrafikk byttes, trafikken dekrypteres og Threat Prevention aktiveres på den.

Les mer: Palo Alto Networks Security Advisory

Cisco

Cisco har bekreftet at Expressway Series, Expressway Select Series, Duo Access Gateway og Ultra-Reliable Wireless Backhaul (URWB) er berørt. Duo Access Gateway er rettet i versjon 3.2.0. For Expressway oppgis versjon 15.5.21, foreløpig uten dato. For URWB oppgis versjon 27.1.1 (februar 2027), og her krever angrepet administratorinnlogging. Det finnes midlertidige tiltak for Expressway og URWB.

Blant annet Secure Firewall, ISE, Catalyst Center, Catalyst SD-WAN Manager, Meraki, Umbrella og Secure Access er bekreftet ikke sårbare. ISE Portal Builder og en rekke andre produkter undersøkes fortsatt. For Splunk-produkter finnes det et eget sikkerhetsvarsel fra Splunk.

Les mer: Cisco Security Advisory

Mistenker dere et innbrudd?

Å installere oppdateringer fjerner ikke en angriper som allerede har fått tilgang. Vårt Incident Respons-team kan hjelpe dere med å undersøke mistenkelig aktivitet og begrense skadeomfanget.

Oppdateringslogg

Dato	Endring
22. oktober 2026	Første publisering
27. oktober 2026	Oppdatert status for Cisco og Palo Alto Networks. Tillegg om session upload progress (CVE-2026-115560), Windows-pakker og forsøk på utnyttelse ifølge Cisco Talos. Utvidet liste over Threat ID-er. Deteksjonstips og henvisning til IOC-er hos Talos.

Kilder

• PHP: Security advisory, update now
• PHP: Informational advisory, session upload progress 
• PHP: Updated Windows builds for Brotli security fix 
• Palo Alto Networks Security Advisory CVE-2026-109618 
• Unit 42 Threat Brief 
• Cisco Security Advisory 
• Cisco Talos: Two critical RCEs in PHP core
• Splunk Security Content: PHP2Shell 
• CERT-EU Security Advisory 2026-018 
• CISA Known Exploited Vulnerabilities Catalog 
• Analytics Story: PHP2Shell | Splunk Security Content

Om våre eksperter