AnswersPublished24 sources
PHP2Shell utløste hasteoppdateringer etter lekkasje
PHP publiserte hasteoppdateringer 21. oktober, én dag tidligere enn planlagt etter at detaljer om sårbarhetene ble lekket.
Publisert avRedigert med GPT-6 LunaBilder generert med GPT Image 2
Research answer
Key takeaways
- PHP publiserte hasteoppdateringer 21. oktober, én dag tidligere enn planlagt etter at detaljer om sårbarhetene ble lekket.
- Calif og Wiz fant sårbarhetene med hjelp fra AI verktøy. De to feilene, CVE 2026 109618 og CVE 2026 109619, fikk begge alvorlighetsgrad 9,2 på CVSS skalaen.
- Det ble meldt om angrepsforsøk før offentliggjøringen, men tilgjengelige kilder dokumenterer ikke at PHP2Shell førte til omfattende, bekreftede innbrudd.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell ble en hastesak for PHP-utviklere og sikkerhetsteam i oktober 2026. To feil i selve PHP-kjøremiljøet kunne gjøre det mulig å kjøre kode på en server uten brukernavn eller passord. Etter at opplysninger om sårbarhetene ble kjent før tiden, kom oppdateringene 21. oktober – dagen før den planlagte utgivelsen. 18
24
Det viktigste skillet er mellom eksponering og bekreftet innbrudd. Mange PHP-installasjoner kunne være sårbare, og det ble rapportert om forsøk på å utnytte feilene. Det er likevel ikke det samme som dokumentasjon på at angripere fikk kontroll over systemene.
AI bidro til å finne sårbarhetene
Calif fant feilene gjennom OpenAIs «Patch the Planet»-initiativ. Wiz undersøkte PHP uavhengig og rapporterte også sårbarhetene. Omtaler av arbeidet knytter AI-verktøyene GPT-5.6 Sol, Wiz Atlas og Gemini 4 Argon til oppdagelsen og den videre sikkerhetsanalysen. 18
21
Sårbarhetene fikk navnene CVE-2026-109618 og CVE-2026-109619, samlet omtalt som PHP2Shell. Den første handler om minnekorrupsjon når PHP går tom for minne; den andre om foreldet global tilstand. Begge kan i visse forhold føre til ekstern kjøring av kode. 7
9
Begge fikk 9,2 av 10 på CVSS v4.0, en skala som brukes til å beskrive hvor alvorlig en sikkerhetsfeil er. 9
10
Hvem var berørt – og hvilke oppdateringer kom?
Sårbarhetene ble rapportert å berøre PHP-versjoner fra 5.4 til 8.5. Det betyr at de kunne angå mange ulike typer serveroppsett, ikke bare én publiseringsplattform eller et bestemt tillegg. PHP oppga at alle installasjoner som håndterer webforespørsler, burde oppdateres. 1
14
PHP publiserte rettelser i versjon 8.5.12, 8.4.27, 8.3.36 og 8.2.35. 15 PHP 8.1 og eldre fikk ikke nye, ordinære sikkerhetsutgivelser fra PHP-prosjektet. Enkelte Linux-distributører og leverandører av langtidsstøtte kan likevel tilby egne bakporterte rettelser.
PHP brukes i en stor del av nettet: ett anslag satte andelen til rundt 70 prosent. Palo Alto Networks rapporterte samtidig at de hadde identifisert over 22,6 millioner internettilgjengelige instanser som potensielt kunne være sårbare. Dette er anslag på mulig eksponering – ikke et tall på bekreftede kompromitteringer. 23
Lekkasjen fremskyndet responsen
Opplysningene ble offentlig kjent 20. oktober, før den planlagte datoen for oppdateringene. PHP publiserte rettelsene 21. oktober. 18
24 Etterpå oppfordret amerikanske myndigheter virksomheter til å kartlegge hvor de brukte sårbare PHP-versjoner og prioritere oppdatering. NSA anbefalte en slik oversikt, mens CISA ba organisasjoner oppdatere umiddelbart. Google, AWS og Microsoft publiserte også veiledning for kundene sine.
3
17
18
Noen nettsteder skal ha vært midlertidig utilgjengelige mens driftsansvarlige installerte rettelser. Kildene gir imidlertid ikke et fullstendig bilde av hvilke tjenester som ble tatt ned, eller hvor store driftsforstyrrelsene var.
Angrepsforsøk er ikke det samme som vellykkede innbrudd
Amazon rapporterte om et forsøk på å utnytte PHP2Shell i MadPot-sensordata 17. oktober, fire dager før offentliggjøringen. Det ble også meldt om flere forsøk rundt tidspunktet da sårbarhetene ble offentlig kjent. 4
Samtidig vurderte Sansec 22. oktober at masseutnyttelse var mindre sannsynlig enn selskapet først hadde trodd. 10 Kildene spriker i hva de sier om utnyttelse, og gir ikke grunnlag for å slå fast at det skjedde omfattende, vellykkede innbrudd. Et registrert forsøk, en demonstrasjon av en metode og et bekreftet kompromiss er tre ulike ting.
10
En ny advarsel kom 23. oktober
PHP varslet senere om en separat, lite sannsynlig vei til ekstern kjøring av kode, knyttet til uvanlige innstillinger for økter. Feilen fikk betegnelsen CVE-2026-115560. Som et midlertidig tiltak anbefalte PHP å sette session.upload_progress.enabled=0 fram til neste ordinære feilrettingsutgivelse. Rådet avhenger av en uvanlig kombinasjon av innstillinger og programkode. 19
Hva kildene ikke fastslår
Påstander om at PHP-prosjektet hadde kjent til problemet siden 2024, at manglende ressurser var årsaken til forsinket håndtering, eller at dette var en «strukturell svikt», er ikke tilstrekkelig dokumentert i kildematerialet her. Det samme gjelder opplysninger om en PHP-versjonssjekker fra OpenAI og et subsidiebeløp på én milliard dollar knyttet til Daybreak.
Det er også rapportert om andre sikkerhetshendelser i samme periode, blant annet en demonstrasjon av en sårbarhet i Node.js kalt «Node2Shell», samt hendelser knyttet til LiteLLM og sertifikatutstederen eMudhra. De er separate saker; kildene gir ikke grunnlag for å slå dem sammen med PHP2Shell eller hevde at de hadde samme årsak.
Den praktiske lærdommen var enkel: kartlegg PHP-installasjonene, finn ut hvilke versjoner som kjører, og installer den relevante rettelsen. At en server kan ha vært utsatt, betyr ikke i seg selv at den ble kompromittert. 17
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell utløste hasteoppdateringer etter lekkasje"?
PHP publiserte hasteoppdateringer 21. oktober, én dag tidligere enn planlagt etter at detaljer om sårbarhetene ble lekket.
What are the key points to validate first?
PHP publiserte hasteoppdateringer 21. oktober, én dag tidligere enn planlagt etter at detaljer om sårbarhetene ble lekket. Calif og Wiz fant sårbarhetene med hjelp fra AI verktøy. De to feilene, CVE 2026 109618 og CVE 2026 109619, fikk begge alvorlighetsgrad 9,2 på CVSS skalaen.
What should I do next in practice?
Det ble meldt om angrepsforsøk før offentliggjøringen, men tilgjengelige kilder dokumenterer ikke at PHP2Shell førte til omfattende, bekreftede innbrudd.