Den 21 oktober 2026 släppte PHP-projektet säkerhetsuppdateringar för två kritiska sårbarheter, CVE-2026-109618 och CVE-2026-109619, som också kallas php2shell. Sårbarheterna kan ge fjärrkörning av kod utan inloggning och har allvarlighetsgrad 9.2 (CVSS 4.0). De berör alla PHP-installationer som tar emot webbtrafik, även PHP-FPM.
Rättade versioner är 8.2.35, 8.3.36, 8.4.27 och 8.5.12. Äldre versioner som inte längre får säkerhetsuppdateringar (8.1 och tidigare) får ingen rättning.
Vad vi gör
Vi uppdaterar PHP på de servrar vi driftar, inklusive webbhotell och förvaltade servrar, och startar om PHP-FPM så att den nya versionen används. Kortare avbrott på några sekunder per server kan förekomma när PHP startas om. Ingen åtgärd krävs av dig som har webbhotell eller förvaltad server hos oss.
Har du en egen VPS eller dedikerad server?
Sköter du servern själv behöver du uppdatera PHP och starta om PHP-FPM eller webbservern. Kontrollera versionen med php -v. Kör du PHP 8.1 eller äldre bör du byta till en version som fortfarande får säkerhetsuppdateringar. Behöver du hjälp, kontakta [email protected].
Mer information: Tenable, frågor och svar om php2shell.