Technote

Kritiska sårbarheter i PHP: det här behöver ni göra

Två kritiska sårbarheter i PHP, kallade PHP2shell (CVE-2026-109618 och CVE-2026-109619), kan låta en angripare köra kod på webbservern utan att logga in. Alla PHP-installationer som hanterar webbtrafik berörs. Uppdatera omgående och börja med system som är exponerade mot internet.

Vad har hänt? 

PHP driver en stor del av webben, från WordPress och Drupal till egenutvecklade system. Den 21 oktober släppte PHP-projektet akuta säkerhetsuppdateringar för två kritiska sårbarheter, kallade PHP2shell. Detaljer hade läckt dagen innan, före den planerade publiceringen. 

Vad är risken? En angripare kan köra egen kod på webbservern med en enda HTTP-förfrågan, utan att logga in. Koden körs med webbtjänstens behörigheter. Därifrån kan angriparen komma åt data, lösenord och nycklar som tjänsten hanterar, och ta sig vidare in i miljön. 

Hur lätt är det? Sårbarheterna sitter i själva PHP-kärnan, inte i applikationen. Angreppet sker innan någon applikationskod körs. Ett uppdaterat WordPress eller Drupal räcker alltså inte om PHP under det är sårbart. Kod som påstås utnyttja sårbarheterna cirkulerar redan publikt. 

Hur allvarligt är det? Kritiskt, CVSS 9,2. Den sårbara koden har funnits sedan PHP 5.4. Palo Alto Networks har identifierat över 22 miljoner exponerade instanser. Cisco Talos uppskattar att ungefär hälften av alla PHP-system kör versioner utan support. 

Utnyttjas det? Säkerhetsföretag rapporterar exploateringsförsök, men det finns ännu ingen officiell bekräftelse. Sårbarheterna är inte listade i CISA:s katalog över kända utnyttjade sårbarheter. Följ statusen här: CISA Known Exploited Vulnerabilities Catalog. Minst en europeisk myndighet har tagit sin webbplats offline i förebyggande syfte. 

Uppdatera nu! Vänta inte på en officiell bekräftelse.

Sammanfattning
Sårbarheter	CVE-2026-109618 (RCE via out-of-memory corruption), CVE-2026-109619 (RCE via stale global state)
Allvarlighetsgrad	Kritisk, CVSS v4.0 9,2 för båda
Berörda miljöer	PHP-installationer som hanterar webbförfrågningar: PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. Högst risk för mod_php.
Åtgärdat i	PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35
Exploatering	Försök rapporteras men är inte officiellt bekräftade. Ännu inte i CISA KEV.
Workaround	Ingen fullständig. Uppdatering är den enda säkra åtgärden.

Fem åtgärder att prioritera 

1. Identifiera var ni kör PHP Inventera webbservrar, applikationer, containrar, webbhotell, appliances och tredjepartsprodukter med inbyggd PHP. PHP syns ofta inte i tillgångsregistret. Dokumentera version, exponering och ansvarig ägare. Börja med internetexponerade och verksamhetskritiska system. 

2. Uppdatera och verifiera Installera en åtgärdad version från PHP eller från er leverantör. Linuxdistributioner och LTS-leverantörer har fått patcharna i förväg. Starta om samtliga PHP-workers. Kontrollera versionen i den miljö som faktiskt betjänar webbtrafiken, eftersom versionen i kommandoraden kan avse en annan installation. 

3. Hantera versioner utan support PHP 8.1 och äldre får inga rättningar från PHP-projektet. Uppgradera, helst till 8.4 eller 8.5, eftersom 8.2 når end of life 31 december 2026. Går det inte direkt, be leverantören om backportade rättningar och sätt en ägare och ett datum. 

4. Begränsa exponeringen tills uppdateringen är klar Ta bort onödig publik åtkomst och isolera tjänster som inte kan uppdateras direkt. PHP-projektet beskriver tillfällig hardening som minskar vissa angreppsvägar men inte ger fullständigt skydd. Att enbart sätta session.upload_progress.enabled=0 räcker inte. 

5. Övervaka och undersök Håll utkik efter återkommande PHP-krascher, out-of-memory-fel, oväntade processer, nya körbara filer och avvikande utgående anslutningar. Spara loggar även från tiden före uppdateringen. 

→ Läs mer: PHP-projektets säkerhetsmeddelande och tekniska instruktioner 

Kompenserande kontroller under tiden 

Patchning tar tid, särskilt för äldre system. Under tiden kan IPS och virtual patching i brandväggen minska risken för publicerade PHP-applikationer. De ersätter inte uppdatering. 

Palo Alto Networks 

• Frontier Virtual Patching (ATP Plus) på PAN-OS 12.2.4 eller senare: Threat ID 543004, publicerat 20 oktober, före den offentliga releasen. 
• Threat Prevention: Threat ID 543004, 97622, 97623, 97624 och 97625. Kräver Applications and Threats content version 9162 eller senare. 

Cisco Secure Firewall 

• Snort SID 67359, 67360 och 67375 även i Snort Community Ruleset

Förutsättningar för att skyddet ska verka 

En aktiverad signatur betyder inte att applikationen är skyddad. Kontrollera följande: 

• Trafiken passerar inspektionen. Trafiken till applikationen måste gå genom den brandvägg eller den regel där skyddet tillämpas. 
• Krypterad trafik inspekteras. Utan inbound TLS-dekryptering, eller inspektion efter TLS-terminering, ser brandväggen inte attacken. De flesta webbapplikationer kör HTTPS. 
• Skyddet blockerar. Signaturerna ska vara aktiva med åtgärden block eller reset, i den profil eller policy som är kopplad till regeln. 
• Innehållet är aktuellt. Content- och regelversionen måste vara den som leverantören anger. 
• Effekten är verifierad. Kontrollera i loggarna att trafiken inspekteras och att signaturerna kan träffa. 

Leverantörerna anger täckning mot sårbarheterna. Det är för tidigt att säga hur heltäckande skyddet är. Aktivera det, men fortsätt patcha. 

Cisco & Palo Alto Networks 

Sårbarheterna kan även påverka leverantörers egna produkter. Cisco och Palo Alto Networks följer vi särskilt noga. Leverantörernas advisories är källan till aktuell produktstatus och uppdateras löpande. 

Palo Alto Networks 

PAN-OS och Panorama är berörda [verifiera versioner]. Fixade versioner är ännu inte släppta. Prisma Access och Cloud NGFW påverkas inte. 

Risken är högst om management-gränssnittet kan nås från internet. Så ska det aldrig vara. Begränsa åtkomsten till betrodda interna adresser, helst via en dedikerad jump host. För att Threat Prevention ska skydda management-trafiken anger Palo Alto ytterligare konfigurationskrav. [verifiera mot advisoryn] 

→ Läs mer: Palo Alto Networks Security Advisory 

Cisco 

Cisco utreder vilka produkter och molntjänster som berörs. Inga produkter är bekräftat sårbara i nuläget. Bland dem som utreds finns ISE, Catalyst Center, Catalyst SD-WAN Manager, Expressway, Secure Access och Umbrella. 

”Under investigation” betyder att bedömningen inte är klar. 

→ Läs mer: Cisco Security Advisory 

Misstänker ni intrång?

Patchning tar inte bort en angripare som redan har tagit sig in. Vårt Incident Response-team kan hjälpa er att undersöka misstänkt aktivitet och begränsa skadan. 

Uppdateringslogg 

Datum	Ändring
22 oktober 2026	Första publicering

Källor 

• PHP: Security advisory, update now 
• Palo Alto Networks Security Advisory CVE-2026-109618 
• Unit 42 Threat Brief 
• Cisco Security Advisory 
• Cisco Talos: Two critical RCEs in PHP core 
• CERT-EU Security Advisory 2026-018 
• CISA Known Exploited Vulnerabilities Catalog 

Om författaren