Steven Lafortune
David GrandolfoDen 21. oktober 2026 udgav PHP-projektet nødopdateringer til to kritiske sårbarheder, som samlet kaldes PHP2Shell. De kan lade en person, der ikke er logget ind, køre kode på en server, der bruger PHP til at besvare webanmodninger. Wiz Research, som anmeldte fejlene sammen med Calif og OpenAI, anslår, at PHP driver omkring 70 % af alle websteder, herunder WordPress, Joomla, Drupal og MediaWiki.
David Grandolfo, koordinator for defensiv sikkerhed, har en direkte besked til Devolutions-kunder: vores SaaS-produkter er ikke berørt af PHP2Shell.
Vi forstår, at nyheder om kritiske sikkerhedssårbarheder kan vække bekymring, især når de rammer teknologier, som millioner af websteder verden over bruger. Vi har dog en god nyhed til Devolutions-kunder: vores produkter og tjenester er ikke berørt af PHP2Shell.
Årsagen er enkel: Vi bruger ikke PHP i vores produkter eller i vores infrastruktur, så disse konkrete sårbarheder påvirker ikke Devolutions’ løsninger.
Vores sikkerhedsteam overvåger løbende nye trusler og vurderer deres mulige betydning for vores produkter og tjenester. I dette tilfælde kan kunderne være rolige: der kræves ingen yderligere opdatering, ingen konfigurationsændring og ingen handling fra din side for at håndtere PHP2Shell.
Organisationer, der bruger PHP, bør installere de tilgængelige sikkerhedsopdateringer hurtigst muligt. Devolutions-kunder kan fortsætte med at bruge vores løsninger med tillid.
Hvad PHP2Shell er
De to fejl er CVE-2026-109618 og CVE-2026-109619. PHP’s sikkerhedsadvarsel siger, at begge kan tillade uautoriseret fjernkørsel af kode. De berører PHP-installationer, der betjener webanmodninger, herunder PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. PHP’s sikkerhedsteam siger, at risikoen er højest for mod_php, hvor en anmodning kan nå fejlen, før webstedets egen applikationskode kører.
Google Cloud beskriver den officielle CVSS-basisscore som 9,2 (Critical) for hver fejl og angiver berørte versioner fra PHP 5.4 til og med 8.5.11. Wiz rapporterer det samme interval: næsten alle PHP-udgivelser fra det seneste årti er berørt af mindst ét af problemerne. Fejlene sidder i PHP-motoren, så en omhyggelig applikation på en ikke-opdateret runtime er stadig udsat. Wiz siger også, at den sårbare kode har ligget i PHP i mere end ti år, og at AI-værktøjer gjorde det praktisk både at demonstrere fejlene og at hjælpe med at få dem rettet.
BleepingComputer rapporterer, at Cloudflare allerede så tidlige angrebsforsøg, da rettelserne blev udsendt, og at midlertidig filtrering ikke kan erstatte opdateringen. Samme rapport nævner en advarsel fra det britiske National Cyber Security Centre: opdater systemer, der bruger PHP, eller tag dem offline, indtil de kan rettes.
Hvad du skal installere
PHP-projektet siger, at der ikke findes fuldstændige afværgeforanstaltninger. Opdatering er det eneste sikre valg. Installer en af disse udgivelser:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Linux-distributioner og leverandører med langtidsunderstøttelse fik rettelserne før den offentlige udgivelse, så tjek din leverandør for opdaterede pakker. PHP 8.1 og ældre modtager ikke længere opdateringer fra PHP-projektet. Nogle leverandører porterer rettelser tilbage. Hvis du kører de versioner, skal du kontakte din leverandør eller flytte til en understøttet udgivelse. Til dem, der bygger fra kildekode, har PHP’s sikkerhedsteam også udgivet minimale kildeporte til PHP 7.4, PHP 8.0 og PHP 8.1.
Advarslen beskriver nogle midlertidige tiltag for teams, der ikke kan opdatere i dag. PHP siger tydeligt, at de tiltag ikke gør en installation sikker.
Hvis du selv kører PHP
Devolutions’ produkter og tjenester bruger ikke PHP, så der ændrer sig ikke noget på den side. Denne meddelelse dækker ikke et PHP-websted, du selv driver: et offentligt websted, et intranet eller et content management-system. Hvis det findes i dit miljø, skal du behandle det som en separat opgave og opdatere PHP til en version på listen ovenfor.