Information om sårbarheten php2shell (CVE-2026-109618 & CVE-2026-109619)
Den 20 oktober aviserade PHP-projektet en kommande säkerhetsuppdatering för två kritiska sårbarheter, CVE-2026-109618 och CVE-2026-109619, som båda fått CVSS-poängen 9.2. Idag, onsdag 21 oktober, släpptes de rättade versionerna. Sårbarheterna kan i värsta fall låta en angripare köra kod på en webbserver utan att vara inloggad, och de berör i princip alla PHP-installationer som hanterar webbtrafik.
Är du kund hos oss behöver du inte göra något. Vi sköter uppdateringen åt dig.
Vad gör vi?
Vi håller i skrivande stund på att kompilera nya versioner av samtliga PHP-versioner vi erbjuder. Arbetet beräknas vara klart inom några timmar, och därefter driftsätter vi de uppdaterade versionerna på alla servrar. Vi uppdaterar den här artikeln när uppdateringen är på plats.
Våra servrar skyddas redan i dag av flera lager säkerhetsfunktioner som filtrerar och blockerar skadlig trafik. Det minskar risken under tiden vi uppdaterar, men det är uppdateringen av PHP som är den fullständiga lösningen och därför prioriterar vi den.
Vilka versioner är rättade?
Säkerhetsrättningar finns för samtliga PHP-versioner vi erbjuder, även äldre versioner som PHP 5.6 och 7.4. Vi kommer att ha patchat och uppdaterat alla versioner, oavsett vilken version din webbplats använder.
Kör din webbplats på en äldre PHP-version rekommenderar vi ändå att du ser över en uppgradering till en version som fortfarande stöds, något du enkelt gör i kontrollpanelen.
