Kritiske sårbarheder i PHP: PHP2Shell

21-10-2026
Dagens store nyhed indenfor cybersikkerhed må uden tvivl være php2shell, som kan koges ned til at være to kritiske sårbarheder i PHP, som begge modtager ekstremt høj risikoscore og som begge er RCE (Remote Code Execution) svagheder.

Hvis du kører med PHP, som er ældre end version 8.2+ vil der ikke frigives patches, og så skal sårbare installationer isoleres. Det gælder eksempelvis End of Life udstyr/services, det booking system der blev lavet for år tilbage, og som alle har glemt. Ja, i kan selv danne jer et scenarie. Alle nye installationer af PHP skal opgraderes med det samme. 

Dette er sårbarheder som vil blive misbrugt!

Et groft estimat på internet vendte installationer som er sårbare runder let en million. Og det er et forsigtigt skøn.

PHP kører under populære webtjenester og CMS's, som f.eks. WordPress, WooCommerce, Drupal, Magento, Laravel og mange flere. Det er IKKE nok at opdatere disse produkter i sig selv. Det er selve PHP softwaren der skal opdateres og den skal opgraderes til PHP version 8.4.26 (kan hentes her: https://www.php.net/downloads.php)

Sårbarhederne har fået tildelt CVE-IDs: CVE-2026-109618 og CVE-2026-109619 med CVSS scores på 9.2.

Jeg vil kraftigt anbefale, at man konsulterer det security advisory som bl.a. er udsendt af CERT-EU:
https://cert.europa.eu/publications/security-advisories/2026-018

Yderligere oplysninger direkte fra PHP:
https://www.php.net/archive/2026.php#2026-10-20-1

Share