Shayan

ENSV

Kontakta mig

PHP2Shell: de kritiska hålen i PHP och hur du kontrollerar din sajt

Av · Publicerad · 2 min läsning

Snabbt svar

PHP2Shell är namnet på CVE-2026-109618 och CVE-2026-109619, två kritiska hål i PHP där en angripare kan köra kod på servern utan att logga in. PHP rättade dem den 21 oktober 2026, och CISA listade dem som utnyttjade den 26 oktober. Kör din sajt PHP ska den ha 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, eller nyare.

Lärdomar av detta inslag4 punkter ▾
  • Kontrollera exakt versionSäkert är 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, eller nyare. Ser du inte numret, fråga ditt webbhotell i dag.
  • Starta om efter uppdateringenTenable påpekar att nya paket inte hjälper processer som redan körs. PHP och webbservern måste startas om.
  • Lämna gammal PHP bakom digPHP 8.1 och äldre får ingen vanlig rättning. Gå över till en version med stöd, eller fråga webbhotellet vad de har lagat.
  • Uppdatera inom några dagarAmazon såg de första försöken fyra dagar före rättningen. Installera säkerhetsuppdateringar snabbt och gå sedan igenom loggarna.

Vad som hände

PHP släppte rättningar den 21 oktober efter att detaljer om hålen läckt. Amazons säkerhetsteam hade sett ett första försök mot sina fällor redan den 17 oktober, fyra dagar tidigare. Den 24 oktober rapporterade en forskare lyckade angrepp mot testservrar med PHP 8.4.26, och den 26 oktober lade CISA till båda hålen i sin katalog över utnyttjade hål.

Båda hålen har allvarlighetsgraden 9,2 och kräver ingen inloggning. PHP körs på cirka 69 procent av alla webbplatser med känt serverspråk, enligt W3Techs. Uppskattningarna av hur många som är utsatta går från 1,3 miljoner möjligen sårbara servrar till över 5 miljoner PHP-servrar på nätet.

Vilka som är drabbade

Alla PHP-installationer som svarar på webbanrop, oavsett om de körs som PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP eller LiteSpeed. PHP bedömer risken som högst med mod_php. Tenable skriver också att forskare visat angrepp mot vissa versioner av WordPress, Drupal, Joomla och Magento.

Ett tredje hål, CVE-2026-115560, kräver en ovanlig konfiguration. Det saknade rättning när Canadian Centre for Cyber Security senast uppdaterade sin varning den 27 oktober. Lösningen tills vidare är att sätta session.upload_progress.enabled=0.

Så kontrollerar du din sajt

Du hittar PHP-versionen i webbhotellets kontrollpanel, eller med php -v på servern. Vissa servrar visar den också i svarshuvudet X-Powered-By. Jag kontrollerade två av sajterna jag tar hand om samma dag som jag skrev det här: 8.3.36 och 8.2.35, båda rättade.

Vad det betyder för din sajt

De flesta småföretag kör inte PHP själva, det gör webbhotellet. Uppdateringen kan alltså redan vara gjord, eller inte. En gammal version som någon valde för flera år sedan ligger kvar tills någon ändrar den.

Tre saker att kontrollera i dag:

  • Ta reda på exakt PHP-version och jämför med numren ovan.
  • Har du egen server: uppdatera och starta om PHP och webbservern.
  • Leta efter oväntade processer, filer, konton och utgående anslutningar.
Kontakta mig

Källor

  1. Canadian Centre for Cyber Security (öppnas i ny flik)
  2. CISA Known Exploited Vulnerabilities (öppnas i ny flik)
  3. Tenable (öppnas i ny flik)
  4. BleepingComputer (öppnas i ny flik)

Fler hack

  1. Binance

    6,3 miljarder dollar

    Det mesta flyttades på cirka 20 minuter. Det kan ha börjat med en laptop.

  2. Node2Shell

    Node.js 22, 24, 26

    Ett hål i Brotli-avkodaren i Node.js. Står på CISA:s lista över utnyttjade hål.

  3. Danmark

    8,8 miljoner personer

    Namn, adresser och personnummer, via ett företags legitima åtkomst.