AnswersPublished23 sources
PHP2Shell: To kritiske PHP-sårbarheder – og de opdateringer, du skal installere
PHP2Shell er navnet på to kritiske PHP sårbarheder, begge vurderet til 9,2 på CVSS v4.0 skalaen. Sårbarhederne handler om håndtering af hukommelse og intern tilstand.
Udgivet afRedigeret med GPT-6 LunaBilleder genereret med GPT Image 2
Research answer
Key takeaways
- PHP2Shell er navnet på to kritiske PHP sårbarheder, begge vurderet til 9,2 på CVSS v4.0 skalaen.
- Sårbarhederne handler om håndtering af hukommelse og intern tilstand. Rapporter beskriver, at PHP 5.4 og nyere kan være berørt; ældre eller ikke understøttede versioner kræver vejledning fra leverandøren.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell er fællesbetegnelsen for to kritiske sårbarheder i PHP’s centrale køretidsmiljø: CVE-2026-109618 og CVE-2026-109619. Begge er vurderet til 9,2 – kritisk – efter CVSS v4.0, og begge kan gøre det muligt for en angriber at køre kode på en sårbar server uden at logge ind. PHP-projektet udsendte nødopdateringer 21. oktober 2026. 
Den vigtigste opgave for driftsansvarlige er at opdatere PHP. Rapporter om forsøg på udnyttelse – herunder en observation i Amazons honeypot før den offentlige offentliggørelse – understreger, at man bør handle hurtigt. Men de er ikke i sig selv bevis på, at et produktionssystem er blevet kompromitteret. 36
Hvad gør de to PHP2Shell-sårbarheder?
Sårbarhederne har ifølge rapporterne hver sin tekniske årsag:
- CVE-2026-109618 handler om håndtering af utilstrækkelig hukommelse. Når PHP løber tør for hukommelse, kan behandlingen afbrydes, mens interne data om forespørgslen stadig kun er delvist initialiseret. Under oprydningen kan PHP derefter komme til at behandle ugyldige data, som om de var gyldige.
58
- CVE-2026-109619 handler om forældet intern tilstand. Rapporter beskriver, at tilstand knyttet til en forespørgsel kan blive liggende, efter at den hukommelse, den brugte, er frigivet. Det skaber et såkaldt use-after-free-problem.
9
Sårbarhederne vedrører PHP’s håndtering af særligt udformede HTTP-forespørgsler, herunder multipart-formdata, som ofte bruges ved filuploads. 1
Hvorfor er scoren 9,2 – og hvad fortæller den ikke?
Begge sårbarheder er vurderet til 9,2 ud af 10 og kategoriseret som kritiske efter CVSS v4.0. Muligheden for fjernkørsel af kode uden login er en væsentlig grund til, at de udgør en alvorlig risiko: En angriber behøver ikke først at logge ind for at forsøge at køre kode på en berørt server.
Det tilgængelige kildemateriale indeholder ikke de fulde CVSS-vektorer. Derfor kan det ikke bruges til en præcis gennemgang af, hvordan de enkelte faktorer fører til scoren 9,2. Scoren beskriver sårbarhedernes alvor; den afgør ikke, hvor sandsynligt det er, at en bestemt server bliver angrebet, eller om et observeret forsøg lykkedes.
Berørte PHP-versioner og rettelser
Rapporter beskriver det berørte versionsinterval som begyndende med PHP 5.4. 55 De nødrettelser, der er angivet for PHP 8.x-grenene, er:
| PHP-gren | Rettet version |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Versionerne blev udgivet 21. oktober 2026. Opdater til den rettede version for din gren eller en nyere version i samme gren.
De angivne rettelser dækker version 8.2 til 8.5. Hvis et system kører en ældre eller ikke-understøttet gren, bør du undersøge, hvilke rettelser og hvilken opgraderingsvejledning PHP-distributøren eller operativsystemleverandøren anbefaler. Gå ikke ud fra, at en af de nævnte versioner uden videre gælder for dit system.
Offentliggørelse og udnyttelse: forsøg er ikke det samme som indbrud
Sårbarhederne blev offentligt omtalt 20. oktober, før den planlagte offentliggørelse 22. oktober. PHP udsendte nødrettelserne dagen efter, 21. oktober. 8
42 Kilderne dokumenterer den for tidlige offentliggørelse og den tidligere udgivelse af rettelserne, men fastslår ikke, at en fejlagtigt offentliggjort demonstrationsvideo fra Calif var årsagen.
Amazon Threat Intelligence rapporterede om et forsøg på at udnytte PHP2Shell i telemetri fra virksomhedens MadPot-honeypot, dateret 17. oktober – fire dage før sårbarhederne blev offentligt kendt. Amazon rapporterede også, at de fandt proof-of-concept-udnyttelser omkring udgivelsen 21. oktober. Honeypot-telemetri viser aktivitet rettet mod et lokkesystem, ikke et bekræftet kompromis af en rigtig organisation.
Cloudflare oplyste, at virksomheden havde indført beskyttelse omkring offentliggørelsen, og samtidige rapporter beskrev angrebstrafik eller forsøg observeret af sikkerhedsleverandører. 55
35 Rapporter om omfanget og succesen af udnyttelsen var ikke entydige: Nogle leverandører meldte om aktive eller omfattende angreb, mens andre samtidige kilder skrev, at myndigheder ikke havde bekræftet vellykkede angreb.
33
36
Dokumentationen giver grund til at tage forsøgene alvorligt, men ikke til at betragte hvert rapporteret forsøg som et vellykket indbrud eller konkludere, at angrebene var udbredte. Når du vurderer risiko og hændelsesrapporter, er det vigtigt at skelne mellem de forskellige kategorier.
Hvad bør du gøre, mens du opdaterer?
Installér den rettede PHP-version som den primære løsning. AWS oplyser, at en opgradering er den eneste fuldstændige rettelse. Hvis opdateringen ikke kan gennemføres med det samme, kan midlertidige tiltag til at mindske eksponeringen omfatte blokering af multipart-filuploads. Det er dog ikke en erstatning for en opdatering.
Canadas Cyber Centre udsendte en kritisk advarsel om sårbarhederne og risikoen for kodekørsel uden login. 2 De tilgængelige kilder omtaler også en anbefaling fra NSA om at tage systemer offline, hvis de ikke kan opdateres med det samme.
27 Følg relevante råd fra leverandører og myndigheder for din installation – især hvis PHP indgår i et produkt eller administreres af en hostingudbyder.
Den praktiske konklusion er enkel: Find ud af, hvor PHP kører, installér den rette opdatering, og undersøg sikkerhedsalarmer med omtanke. PHP2Shell er alvorlig nok til, at det haster – men et forsøg, en fungerende udnyttelse og et bekræftet kompromis af et produktionssystem er ikke det samme.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: To kritiske PHP-sårbarheder – og de opdateringer, du skal installere"?
PHP2Shell er navnet på to kritiske PHP sårbarheder, begge vurderet til 9,2 på CVSS v4.0 skalaen.
What are the key points to validate first?
PHP2Shell er navnet på to kritiske PHP sårbarheder, begge vurderet til 9,2 på CVSS v4.0 skalaen. Sårbarhederne handler om håndtering af hukommelse og intern tilstand. Rapporter beskriver, at PHP 5.4 og nyere kan være berørt; ældre eller ikke understøttede versioner kræver vejledning fra leverandøren.