AnswersPublished23 sources
PHP2Shell udløste akut jagt på sikkerhedsopdateringer
CVE 2026 109618 og CVE 2026 109619 fik hver en CVSS v4.0 score på 9,2 og kunne føre til fjernkørsel af kode uden login. Calif fandt fejlene med hjælp fra GPT 5.6 Sol, mens Wiz også undersøgte dem med blandt andet Wiz Atlas og Gemini 4 Argon.
Udgivet afRedigeret med GPT-6 LunaBilleder genereret med GPT Image 2
Research answer
Key takeaways
- CVE 2026 109618 og CVE 2026 109619 fik hver en CVSS v4.0 score på 9,2 og kunne føre til fjernkørsel af kode uden login.
- Calif fandt fejlene med hjælp fra GPT 5.6 Sol, mens Wiz også undersøgte dem med blandt andet Wiz Atlas og Gemini 4 Argon.
- Efter oplysninger blev offentliggjort før tid 20. oktober kom PHPs nødrettelser en dag tidligere end planlagt: 21.
- Amazon rapporterede forsøg mod en honeypot før offentliggørelsen, men forsøg er ikke det samme som bekræftede indbrud.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell var navnet på to alvorlige sårbarheder i PHPs kerne, som kunne give en angriber mulighed for at køre kode på en server uden først at logge ind. De blev offentlig kendt 20. oktober 2026, og PHP udsendte nødrettelser dagen efter, før den planlagte dato 22. oktober. 15
24
Sagen udløste en hastig indsats blandt udviklere, myndigheder og hosting- og teknologivirksomheder. Men det er vigtigt at skelne mellem sårbare servere, angrebsforsøg og bekræftede kompromitteringer: De tilgængelige oplysninger dokumenterer en akut opdateringsopgave, ikke omfattende, vellykkede indbrud.
AI hjalp forskere med at finde fejlene
Sikkerhedsfirmaet Calif fandt sårbarhederne i forbindelse med OpenAIs initiativ Patch the Planet. Ifølge omtaler brugte Calif GPT-5.6 Sol, mens Wiz undersøgte fejlene uafhængigt ved hjælp af blandt andet Wiz Atlas, Gemini 4 Argon og GPT-5.6 Sol. 6
18
21
De to fejl fik CVE-numrene CVE-2026-109618 og CVE-2026-109619. Den første handler om korruption af hukommelsen i forbindelse med en fejl, hvor PHP løber tør for hukommelse. Den anden skyldes forældet global tilstand, som kan efterlade PHP i en usikker situation. Begge kunne under de rette omstændigheder føre til fjernkørsel af kode, og hver fik en score på 9,2 på CVSS v4.0-skalaen. 4
9
10
Sårbarhederne omfattede PHP-versioner fra 5.4 og frem, herunder versioner til og med 8.5. Det betyder, at problemet berørte en bred vifte af installationer, men kilderne fastslår ikke præcist, at fejlene havde eksisteret i omkring 14 år. 6
14
Læk fremskyndede rettelserne
Oplysninger om sårbarhederne slap ud 20. oktober, før den planlagte offentliggørelse. PHP udsendte derfor rettelser 21. oktober i version 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Projektet anbefalede opdatering af alle PHP-installationer, der håndterer webtrafik. 15
24
PHP 8.1 og ældre versioner er ikke længere omfattet af projektets almindelige sikkerhedsopdateringer. Nogle Linux-distributioner og leverandører af langtidsunderstøttelse kan dog levere særskilte rettelser, så administratorer bør kontrollere vejledningen fra deres egen leverandør.
Myndigheder og teknologivirksomheder opfordrede også til hurtig handling. NSA anbefalede at kortlægge systemer, der er afhængige af sårbare PHP-versioner, og CISA rådede organisationer til at installere opdateringerne straks. Google, AWS og Microsoft udsendte desuden vejledning til kunder. 3
17
18
Millioner af mulige mål – men ikke millioner af indbrud
PHP anslås at være brugt på omkring 70 procent af nettet. Palo Alto Networks opgjorde mere end 22,6 millioner interneteksponerede installationer som potentielt sårbare. Det er et mål for mulig eksponering, ikke en optælling af kompromitterede servere. 23
Amazon rapporterede et angrebsforsøg mod sin MadPot-honeypot 17. oktober, fire dage før offentliggørelsen, og omtaler beskrev yderligere aktivitet omkring offentliggørelsen. 4
6 En honeypot er et overvåget system, der er sat op til at registrere angrebsadfærd. At et forsøg bliver observeret, viser ikke i sig selv, at angriberen fik adgang til et rigtigt system.
Sansec vurderede 22. oktober, at masseudnyttelse var mindre sandsynlig, end virksomheden først havde troet. Samlet set er der ikke tilstrækkeligt belæg for at konkludere, at PHP2Shell førte til omfattende, bekræftede indbrud. 10
En ekstra advarsel kom 23. oktober
PHP advarede 23. oktober om en anden, usandsynlig vej til fjernkørsel af kode under en særlig kombination af sessionsindstillinger. Problemet fik nummeret CVE-2026-115560. Som midlertidig forholdsregel anbefalede PHP at sætte session.upload_progress.enabled=0 frem til næste almindelige fejlrettelsesudgivelse. 19
Advarslen gælder ikke alle opsætninger. PHP oplyste, at applikationer, som ikke ændrer serialiseringshåndteringen under kørsel, kan lade funktionen være aktiveret.
Hvad sagen ikke fastslår
De fremlagte oplysninger dokumenterer ikke pålideligt, at PHP Foundation beskrev håndteringen som et strukturelt svigt, eller at bestemte ressourceproblemer var årsag til forløbet. De underbygger heller ikke påstandene om en PHP-versionstjekker fra OpenAI eller et løfte om et tilskud på én milliard dollar under Daybreak. At AI indgik i forskernes arbejde, siger heller ikke i sig selv, om teknologien samlet set hjalp forsvarere mere end angribere.
Andre sikkerhedshistorier fyldte samtidig i oktober. Imperva beskrev en demonstration kaldet Node2Shell, hvor særligt udformede Brotli-data kunne få en officiel Node.js-version til at køre kode. En separat oversigt nævnte også hændelser med eMudhra og LiteLLM, men oplysningerne her er ikke tilstrækkelige til at fastslå omfanget af de hændelser.
Den praktiske lære af PHP2Shell var derfor først og fremmest at finde alle PHP-installationer, kontrollere hvilken version de kører, og installere den relevante rettelse hurtigst muligt. Mulig eksponering var grund til handling – ikke bevis på, at et indbrud allerede var sket. 17
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell udløste akut jagt på sikkerhedsopdateringer"?
CVE 2026 109618 og CVE 2026 109619 fik hver en CVSS v4.0 score på 9,2 og kunne føre til fjernkørsel af kode uden login.
What are the key points to validate first?
CVE 2026 109618 og CVE 2026 109619 fik hver en CVSS v4.0 score på 9,2 og kunne føre til fjernkørsel af kode uden login. Calif fandt fejlene med hjælp fra GPT 5.6 Sol, mens Wiz også undersøgte dem med blandt andet Wiz Atlas og Gemini 4 Argon.
What should I do next in practice?
Efter oplysninger blev offentliggjort før tid 20. oktober kom PHPs nødrettelser en dag tidligere end planlagt: 21.
Sources
securityweek.comTech and Security Companies Respond to PHP2Shell ...
stuttgarter-nachrichten.dePHP-Programmiersprache: Eine „Super-KI“ fand die Sicherheitslücke
infosecurity-magazine.comPHP2Shell Exploitation Attempt Detected Four Days Before Disclosure
scworld.comCISA advises orgs to patch PHP2Shell bugs immediately