AnswersPublished22 sources
PHP2Shell: Det skal du vide om de kritiske PHP-sårbarheder
PHP2Shell er navnet på to PHP sårbarheder, der begge er vurderet til 9,2 og kan give uvedkommende mulighed for at køre kode på en berørt server uden login. PHP offentliggjorde rettelser 21.
Udgivet afRedigeret med GPT-6 LunaBilleder genereret med GPT Image 2
Research answer
Key takeaways
- PHP2Shell er navnet på to PHP sårbarheder, der begge er vurderet til 9,2 og kan give uvedkommende mulighed for at køre kode på en berørt server uden login.
- PHP offentliggjorde rettelser 21. oktober 2026, efter at sårbarhedernes CVE numre var blevet lækket før den planlagte offentliggørelse.
- Der er meldt om angrebsforsøg, men forsøg er ikke i sig selv bevis på, at et system er blevet kompromitteret.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell er fællesnavnet for to kritiske sårbarheder i PHP: CVE-2026-109618 og CVE-2026-109619. Begge fik en score på 9,2 på CVSS v4.0-skalaen og kan ifølge meldingerne give en angriber mulighed for at køre kode på en berørt server uden først at logge ind. PHP udsendte rettelser 21. oktober 2026, efter at oplysninger om fejlene var kommet frem før den planlagte offentliggørelse. Der blev hurtigt meldt om angrebsforsøg, men et forsøg er ikke det samme som et vellykket angreb. 1
3
14
Hvad går sårbarhederne ud på?
Fejlene ligger i PHP's håndtering af forespørgsler og hukommelse – ikke i et bestemt webframework. CVE-2026-109618 handler om håndtering af en situation, hvor systemet løber tør for hukommelse. CVE-2026-109619 vedrører forældet intern tilstand. Den rapporterede risiko er fjernkørsel af kode uden godkendelse. 1
14
Det betyder, at PHP-versionen kan være afgørende, selv om der ikke er meldt om fejl i selve webstedets kode. PHP's driftsvejledning omfatter installationer, der behandler webforespørgsler. 55
Hvilke PHP-versioner er rettet?
PHP offentliggjorde de rettede versioner 21. oktober 2026:
Systemer med ældre versioner i de samme versionsgrene bør opdateres til den tilsvarende rettede udgave. Oplysninger om sårbarhederne var dukket op før den planlagte offentliggørelse, og rettelserne blev derfor udsendt tidligere end planlagt. 3
13
33
Sådan kom oplysningerne frem
Et opslag på Hacker News 20. oktober henviste til de to CVE-numre og skrev, at sårbarhederne skulle offentliggøres 22. oktober. Opslaget blev fjernet, men skærmbilleder nåede at blive delt. Sikkerhedsforskere bekræftede efterfølgende, at oplysningerne var reelle, og at fejlene var omfattet af en aftale om ikke at offentliggøre dem endnu. 3
Medier har omtalt, at Calif fandt en fejl med hjælp fra en OpenAI-model. Wiz fandt og indberettede også sårbarhederne uafhængigt, ifølge omtalen af den koordinerede håndtering. De tilgængelige oplysninger fastslår ikke, at fejlene havde eksisteret i omkring 20 år, eller hvilken gruppe der fandt hver enkelt CVE. 27
33
Midlertidige nedlukninger og myndighedernes råd
Nogle organisationer tog tjenester offline som en forsigtighedsforanstaltning, mens de håndterede risikoen. Omtalen nævner tjenester knyttet til Japans finansministerium, BambooHR, Rotterdams havn og Wikimedia. Nedlukningerne er ikke i sig selv bevis på, at organisationerne blev hacket. 19
Den amerikanske cybersikkerhedsmyndighed CISA opfordrede organisationer med PHP-baserede websteder til straks at installere rettelserne. 33 De foreliggende kilder giver ikke et samlet tal for de forebyggende nedlukninger og bekræfter heller ikke alle meldinger om berørte hospitaler, skoler og offentlige tjenester.
Hvad viser meldingerne om angrebsforsøg?
Der blev rapporteret aktivitet både før og efter den offentlige offentliggørelse:
- Amazon oplyste, at virksomhedens MadPot-honeypot registrerede et angrebsforsøg 17. oktober, før rettelserne blev udgivet 21. oktober. En observation i en honeypot viser et forsøg mod den pågældende sensor – ikke, at andre systemer blev kompromitteret.
50
58
- Cloudflare meldte om tusindvis af forsøg i de ti timer før offentliggørelsen og millioner efterfølgende. Tallene gælder observerede forsøg på tværs af Cloudflares netværk, ikke et antal servere, der med sikkerhed blev kompromitteret.
36
- CISA sagde, at myndigheden ikke havde observeret udnyttelse på tidspunktet for sin advarsel. Det beskriver, hvad CISA havde set på det tidspunkt, og afkræfter ikke forsøg registreret af sikkerhedsvirksomheder med andre datakilder.
- Sophos rettede en tidligere melding om vellykkede angreb i kundemiljøer. Virksomheden oplyste, at dens data viste scanning og et mindre antal mislykkede forsøg, men ingen tegn på vellykket kompromittering i dens miljøer på tidspunktet for opdateringen.
7
Samlet set er meldingerne grund til at behandle PHP2Shell som en hastesag: Der blev observeret forsøg, og den mulige konsekvens er alvorlig. Men oplysningerne viser ikke, at alle forsøg lykkedes, og de giver ikke et sikkert samlet tal for kompromitterede systemer.
Hvad er endnu ikke dokumenteret?
De foreliggende kilder giver ikke et pålideligt tal for sårbare servere, der er tilgængelige fra internettet. De fastslår heller ikke, at fejlene havde eksisteret i omkring 20 år, eller at angribere brugte kunstig intelligens til at udvikle udnyttelser af PHP2Shell. AI-hjælp er omtalt i forbindelse med opdagelsen, men det er ikke dokumentation for, hvordan angribere fandt eller udnyttede sårbarhederne. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Det skal du vide om de kritiske PHP-sårbarheder"?
PHP2Shell er navnet på to PHP sårbarheder, der begge er vurderet til 9,2 og kan give uvedkommende mulighed for at køre kode på en berørt server uden login.
What are the key points to validate first?
PHP2Shell er navnet på to PHP sårbarheder, der begge er vurderet til 9,2 og kan give uvedkommende mulighed for at køre kode på en berørt server uden login. PHP offentliggjorde rettelser 21. oktober 2026, efter at sårbarhedernes CVE numre var blevet lækket før den planlagte offentliggørelse.
What should I do next in practice?
Der er meldt om angrebsforsøg, men forsøg er ikke i sig selv bevis på, at et system er blevet kompromitteret.