Technote

Kritiska sårbarheter i PHP: det här behöver ni göra

Två kritiska sårbarheter i PHP, kallade PHP2shell (CVE-2026-109618 och CVE-2026-109619), kan låta en angripare köra kod på webbservern utan att logga in. Alla PHP-installationer som hanterar webbtrafik berörs. Uppdatera omgående och börja med system som är exponerade mot internet. → Uppdaterad 27 oktober.

_{^{Uppdatering 27 oktober 2026}}

Session upload progress: PHP rekommenderar att session.upload_progress.enabled=0 sätts tills nästa ordinarie buggrättningsversion, även på uppdaterade system. Rådet gäller en separat och mindre sannolik sårbarhet, CVE-2026-115560. Har ni redan satt inställningen, låt den vara kvar. 

PHP på Windows: Använd de ombyggda paketen 8.5.12-1, 8.4.27-1, 8.3.36-1 eller 8.2.35-1. De innehåller även en rättning för en separat sårbarhet i Brotli, CVE-2026-111497. 

Leverantörer: Cisco har bekräftat vilka produkter som är berörda, och Palo Alto Networks publicerar hotfixar för PAN-OS. Se avsnitten längre ner. 

Exploatering: Cisco Talos rapporterar exploateringsförsök sedan några timmar efter publiceringen, främst skanning. 

-> PHP: råd om session upload progress 

-> PHP: uppdaterade Windows-paket 

Vad har hänt? 

PHP driver en stor del av webben, från WordPress och Drupal till egenutvecklade system. Den 21 oktober släppte PHP-projektet akuta säkerhetsuppdateringar för två kritiska sårbarheter, kallade PHP2shell. Detaljer hade läckt dagen innan, före den planerade publiceringen. 

Vad är risken?

En angripare kan genom särskilt utformade HTTP-förfrågningar utnyttja sårbarheterna för att köra kod utan inloggning. Hur enkelt det är att lyckas beror på miljön. Koden körs med webbtjänstens behörigheter. Därifrån kan angriparen komma åt data, lösenord och nycklar som tjänsten hanterar, och ta sig vidare in i miljön. 

Hur lätt är det?

Sårbarheterna sitter i själva PHP-kärnan, inte i applikationen. PHP bedömer risken som högst för Apache med mod_php, där ett demonstrerat angrepp kan utlösas innan applikationskoden körs. Ett uppdaterat WordPress eller Drupal räcker alltså inte om PHP under det är sårbart. Kod som påstås utnyttja sårbarheterna cirkulerar redan publikt. 

Hur allvarligt är det?

Kritiskt, CVSS 9,2. Den sårbara koden har funnits sedan PHP 5.4. Palo Alto Networks har identifierat över 22 miljoner exponerade instanser. Cisco Talos uppskattar att ungefär hälften av alla PHP-system kör versioner utan support. 

Utnyttjas det?

Cisco Talos och flera andra säkerhetsföretag rapporterar exploateringsförsök. Än så länge handlar det främst om skanning och okoordinerade försök. CISA:s katalog över kända utnyttjade sårbarheter är en kompletterande källa. Att en sårbarhet saknas där innebär inte att den inte utnyttjas.

Uppdatera nu! Vänta inte på en officiell bekräftelse.

Sammanfattning

Sårbarheter	CVE-2026-109618 (RCE via out-of-memory corruption), CVE-2026-109619 (RCE via stale global state)
Allvarlighetsgrad	Kritisk, CVSS v4.0 9,2 för båda
Berörda miljöer	PHP-installationer som hanterar webbförfrågningar: PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. Högst risk för mod_php.
Åtgärdat i	PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. På Windows: de ombyggda paketen med suffixet -1.
Exploatering	Exploateringsförsök rapporteras, främst skanning. Se leverantörernas lägesbilder och CISA KEV som kompletterande källa.
Workaround	Ingen fullständig. Uppdatering är den enda säkra åtgärden.

Fem åtgärder att prioritera

1. Identifiera var ni kör PHP

Inventera webbservrar, applikationer, containrar, webbhotell, appliances och tredjepartsprodukter med inbyggd PHP. PHP syns ofta inte i tillgångsregistret. Dokumentera version, exponering och ansvarig ägare. Börja med internetexponerade och verksamhetskritiska system. 

2. Uppdatera och verifiera

Installera en åtgärdad version från PHP eller från er leverantör. Linuxdistributioner och LTS-leverantörer har fått patcharna i förväg. Starta om samtliga PHP-workers. Kontrollera versionen i den miljö som faktiskt betjänar webbtrafiken, eftersom versionen i kommandoraden kan avse en annan installation. Kör ni PHP på Windows, installera paketen med suffixet -1 och kontrollera paketversionen, eftersom PHP-versionen är oförändrad.

3. Hantera versioner utan support

PHP 8.1 och äldre saknar ordinarie säkerhetsuppdateringar från PHP-projektet. Uppgradera, helst till 8.4 eller 8.5, eftersom 8.2 når end of life 31 december 2026. Går det inte direkt, be leverantören om backportade rättningar och sätt en ägare och ett datum.

4. Begränsa exponeringen tills uppdateringen är klar

Ta bort onödig publik åtkomst och isolera tjänster som inte kan uppdateras direkt. PHP-projektet beskriver tillfällig hardening som minskar vissa angreppsvägar men inte ger fullständigt skydd. Att enbart sätta session.upload_progress.enabled=0 ersätter inte uppdatering. PHP rekommenderar dock nu inställningen även efter uppdatering, för en separat angreppsväg (CVE-2026-115560). Applikationer som aldrig ändrar session.serialize_handler under körning kan enligt PHP behålla funktionen aktiverad. Tillämpa inställningen i serverkonfigurationen och starta om samtliga PHP-workers.

5. Övervaka och undersök

Håll utkik efter återkommande PHP-krascher, out-of-memory-fel, oväntade processer, nya körbara filer och avvikande utgående anslutningar. Spara loggar även från tiden före uppdateringen.

Se avsnittet Upptäck och undersök misstänkt aktivitet längre ner.

→ Läs mer: PHP-projektets säkerhetsmeddelande och tekniska instruktioner 

Kompenserande kontroller under tiden 

Patchning tar tid, särskilt för äldre system. Under tiden kan IPS och virtual patching i brandväggen minska risken för publicerade PHP-applikationer. De ersätter inte uppdatering. 

Palo Alto Networks 

• Frontier Virtual Patching (ATP Plus) på PAN-OS 12.2.4 eller senare: Threat ID 543004, publicerat 20 oktober, före den offentliga releasen. 
• Threat Prevention: Threat ID 543004, 97622, 97623, 97624, 97625, 97643, 97647, 97649, 97652, 97653, 97656, 97657, 97658, 97659, 97662, 97663, 97664, 97670, 97671, 97672, 97673, 97674, 97676, 97677 och 97678. Kräver Applications and Threats content version 9162, 9163, 9164 eller senare. Listan uppdateras löpande, så se advisoryn för den aktuella versionen.

→ Läs mer: CVE-2026-109618 & 19 – Impact of Critical Vulnerabilities in PHP

Cisco Secure Firewall 

Cisco Talos har publicerat Snort-regler med SID 67359, 67360 och 67375. Enligt Talos finns reglerna även i Snort Community Ruleset. Kontrollera att reglerna är installerade, aktiverade och blockerande i den policy som inspekterar trafiken till PHP-applikationen.

→ Läs mer: Cisco Talos: analys och signaturtäckning 

Förutsättningar för att skyddet ska verka

En aktiverad signatur betyder inte att applikationen är skyddad. Kontrollera följande: 

• Trafiken passerar inspektionen. Trafiken till applikationen måste gå genom den brandvägg eller den regel där skyddet tillämpas. 
• Krypterad trafik inspekteras. Utan inbound TLS-dekryptering, eller inspektion efter TLS-terminering, ser brandväggen inte attacken. De flesta webbapplikationer kör HTTPS. 
• Skyddet blockerar. Signaturerna ska vara aktiva med åtgärden block eller reset, i den profil eller policy som är kopplad till regeln. 
• Innehållet är aktuellt. Content- och regelversionen måste vara den som leverantören anger. 
• Effekten är verifierad. Kontrollera i loggarna att trafiken inspekteras och att rätt säkerhetsprofil tillämpas. Uteblivna signaturträffar bevisar inte i sig att skyddet fungerar.

Leverantörerna anger täckning mot sårbarheterna. Det är för tidigt att säga hur heltäckande skyddet är. Aktivera det, men fortsätt patcha. 

Upptäck & undersök misstänkt aktivitet 

Patchning behöver kompletteras med kontroll av vad som redan har hänt. Granska webb-, PHP- och endpointloggar och leta särskilt efter: 

• Avvikande uppladdningar och sessionsdata, till exempel misstänkta multipart-förfrågningar eller PHP-kod och serialiserad data i uppladdade filnamn. 
• Stora POST-förfrågningar följda av HTTP 500, särskilt tillsammans med minnesfel i PHP eller återkommande worker-krascher. 
• Oväntade processer från webbtjänsten, till exempel att webbservern eller en PHP-process startar ett kommandoskal. 

En enskild träff bevisar inte att ett intrång har lyckats. Koppla samman webbtrafik, felmeddelanden och processhändelser för samma server och tidpunkt. 

Färdiga detektioner 

Splunk har publicerat detektioner för PHP2shell som täcker webbtrafik, minnesfel i PHP och misstänkt processaktivitet. Kontrollera datakällor och anpassa reglerna innan de används. Unit 42 har publicerat sökfrågor för Cortex XDR och XSIAM. De fångar misstänkt aktivitet från PHP-processer generellt och är inte specifika för just dessa sårbarheter. 

→ Splunk: PHP2Shell Analytic Story 

→ Unit 42: analys och sökfrågor 

Indikatorer (IOC) 

Cisco Talos publicerar IP-adresser kopplade till observerade exploateringsförsök. Adresserna ändras snabbt, så använd Talos aktuella lista som komplement till beteendebaserad detektion. En träff behöver undersökas i sitt sammanhang, och uteblivna träffar utesluter inte intrång. 

→ Cisco Talos: Indicators of Compromise 

Cisco & Palo Alto Networks 

Sårbarheterna kan även påverka leverantörers egna produkter. Cisco och Palo Alto Networks följer vi särskilt noga. Leverantörernas advisories är källan till aktuell produktstatus och uppdateras löpande. 

Palo Alto Networks 

PAN-OS på brandväggar och Panorama är berörda, i versionerna 10.2, 11.1, 11.2, 12.1 och 12.2. Palo Alto Networks har publicerat hotfixar för flera versioner och anger preliminära datum för resten. Se advisoryn för rätt uppgraderingsväg för er version. Prisma Access och Cloud NGFW påverkas inte.

Risken är högst om management-gränssnittet kan nås från internet. Så ska det aldrig vara. Begränsa åtkomsten till betrodda interna adresser, helst via en dedikerad jump host. För att Threat Prevention ska skydda brandväggens egen management-trafik krävs att trafiken routas via en dataplane-port, att certifikatet för inkommande management-trafik byts, att trafiken dekrypteras och att Threat Prevention aktiveras på den.

→ Läs mer: Palo Alto Networks Security Advisory 

Cisco 

Cisco har bekräftat att Expressway Series, Expressway Select Series, Duo Access Gateway och Ultra-Reliable Wireless Backhaul (URWB) är berörda. Duo Access Gateway är rättad i version 3.2.0. För Expressway anges version 15.5.21, ännu utan datum. För URWB anges version 27.1.1 (februari 2027), och där kräver angreppet administratörsinloggning. Workarounds finns för Expressway och URWB.

Bland annat Secure Firewall, ISE, Catalyst Center, Catalyst SD-WAN Manager, Meraki, Umbrella och Secure Access är bekräftat inte sårbara. ISE Portal Builder och ett antal andra produkter utreds fortfarande. För Splunk-produkter finns en separat advisory från Splunk.

→ Läs mer: Läs mer: Cisco Security Advisory 

Misstänker ni intrång?

Patchning tar inte bort en angripare som redan har tagit sig in. Vårt Incident Response-team kan hjälpa er att undersöka misstänkt aktivitet och begränsa skadan. 

Uppdateringslogg 

Datum	Ändring
27 oktober 2026	Uppdaterad status för Cisco och Palo Alto Networks. Tillägg om session upload progress (CVE-2026-115560), Windows-paket och exploateringsförsök enligt Cisco Talos. Utökad lista över Threat ID. Detektionstips och hänvisning till IOC hos Talos.
22 oktober 2026	Första publicering

Källor 

• PHP: Security advisory, update now
• PHP: Informational advisory, session upload progress 
• PHP: Updated Windows builds for Brotli security fix 
• Palo Alto Networks Security Advisory CVE-2026-109618 
• Unit 42 Threat Brief 
• Cisco Security Advisory 
• Cisco Talos: Two critical RCEs in PHP core
• Splunk Security Content: PHP2Shell 
• CERT-EU Security Advisory 2026-018 
• CISA Known Exploited Vulnerabilities Catalog 
• Analytics Story: PHP2Shell | Splunk Security Content

Har du frågor?

Vi hjälper dig vid frågor eller funderingar. Välkommen att höra av dig till oss.

Kontakta oss

Om författaren