AnswersPublished23 sources
PHP2Shell: To kritiske PHP-sårbarheter krever rask oppdatering
PHP2Shell består av to kritiske sårbarheter, begge vurdert til 9,2 etter CVSS v4.0. Feilene gjelder blant annet PHPs håndtering av minnemangel og utdatert intern tilstand.
Publisert avRedigert med GPT-6 LunaBilder generert med GPT Image 2
Research answer
Key takeaways
- PHP2Shell består av to kritiske sårbarheter, begge vurdert til 9,2 etter CVSS v4.0.
- Feilene gjelder blant annet PHPs håndtering av minnemangel og utdatert intern tilstand.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell er navnet på to kritiske sårbarheter i PHPs kjernemotor: CVE-2026-109618 og CVE-2026-109619. Begge har fått alvorlighetsgraden 9,2 – «Critical» – etter CVSS v4.0, og kan gjøre det mulig for en angriper å kjøre kode på en sårbar server uten å logge inn. PHP-prosjektet publiserte hasteoppdateringer 21. oktober 2026. 
Det viktigste for dem som drifter PHP-systemer, er å installere riktig oppdatering. Meldinger om angrepsforsøk, blant annet en observasjon i Amazons honeypot før sårbarhetene ble offentlig kjent, gir grunn til å handle raskt. Men et registrert forsøk er ikke i seg selv bevis på at et produksjonssystem er blitt kompromittert. 36
Hva er PHP2Shell?
De to sårbarhetene har ulike beskrevne årsaker:
- CVE-2026-109618 handler om minnemangel. Når PHP håndterer en situasjon der minnet er brukt opp, kan behandlingen avbrytes mens interne data for forespørselen bare er delvis klargjort. Under opprydding kan PHP deretter behandle ugyldige data som om de var gyldige.
58
- CVE-2026-109619 handler om foreldet intern tilstand. Beskrivelser av feilen viser til at tilstand knyttet til en forespørsel blir liggende igjen etter at minnet den brukte, er frigjort. Dette kan føre til en såkalt «use-after-free»-feil.
9
Sårbarhetene gjelder PHPs behandling av spesiallagde HTTP-forespørsler, blant annet forespørsler med multipart-skjemaformatet som ofte brukes ved filopplasting. 1
Hvorfor er alvorlighetsgraden 9,2?
Begge feilene er vurdert til 9,2 av 10, «Critical», etter CVSS v4.0. At de kan gi fjernkjøring av kode uten autentisering, er en sentral del av risikobildet: Angriperen trenger ikke først å logge inn for å forsøke å kjøre kode på en berørt server.
Kildematerialet inneholder ikke de fullstendige CVSS-vektorene. Derfor er det ikke grunnlag for å forklare nøyaktig hvordan hver enkelt faktor gir akkurat 9,2. Alvorlighetsgraden sier noe om hvor alvorlige sårbarhetene kan være, men ikke hvor sannsynlig det er at en bestemt server blir angrepet – eller om et observert angrepsforsøk lykkes.
Berørte PHP-versjoner og tilgjengelige rettelser
Rapporter beskriver det berørte versjonsområdet som PHP 5.4 og nyere. 55 Hasteoppdateringene for PHP 8.x-grenene er:
| PHP-gren | Rettet versjon |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Versjonene ble publisert 21. oktober 2026. Oppgrader til den rettede versjonen for grenen du bruker, eller en nyere versjon i samme gren.
Oppdateringene i tabellen gjelder grenene 8.2 til 8.5. Kjører systemet en eldre eller utgått PHP-gren, bør du undersøke veiledningen fra PHP-distributøren eller leverandøren av operativsystemet. Ikke gå ut fra at en av versjonene i tabellen gjelder direkte for eldre grener.
Lekkasjen og angrepsforsøkene: Hva vet vi?
Sårbarhetene ble offentlig kjent 20. oktober, før den planlagte offentliggjøringen 22. oktober. PHP publiserte hasteoppdateringene dagen etter. 8
42 Kildene støtter at informasjonen ble kjent tidligere enn planlagt og at oppdateringene kom tidligere, men fastslår ikke at en feilpublisert demonstrasjonsvideo fra Calif var årsaken.
Amazon Threat Intelligence meldte at de fant et forsøk på å utnytte PHP2Shell i MadPot-data fra 17. oktober – fire dager før sårbarhetene ble offentlig kjent. Amazon opplyste også at de identifiserte flere proof-of-concept-utgaver rundt tidspunktet for lanseringen 21. oktober. MadPot er et honeypot-system: Det registrerer aktivitet rettet mot en lokkeløsning, ikke en bekreftet inntrenging hos en reell organisasjon.
Cloudflare meldte at de hadde innført beskyttelse rundt offentliggjøringen, og samtidige rapporter beskrev angrepsaktivitet eller forsøk observert av sikkerhetsleverandører. 55
35 Rapportene om hvor omfattende angrepene var, og om de lyktes, sprikte. Noen leverandører meldte om aktiv eller omfattende utnyttelse, mens annen samtidig omtale viste til at offentlige myndigheter ikke hadde bekreftet vellykkede angrep.
33
36
Det er derfor grunn til å ta angrepsforsøk på alvor, men ikke til å slå fast at hvert forsøk lyktes eller at angrepene var omfattende. Når systemer og hendelsesrapporter vurderes, er det viktig å skille mellom et forsøk, en fungerende utnyttelse og et bekreftet innbrudd i et produksjonssystem.
Hva bør du gjøre nå?
Installer den rettede PHP-versjonen. AWS opplyser at oppgradering er den eneste fullstendige løsningen. Hvis oppdatering ikke er mulig med en gang, kan midlertidige tiltak for å redusere eksponeringen blant annet være å blokkere multipart-filopplastinger. Slike tiltak erstatter ikke oppdateringen.
Canadas Cyber Centre har sendt ut et kritisk varsel om sårbarhetene og risikoen for kodekjøring uten autentisering. 2 Kildene omtaler også en anbefaling fra NSA om å ta systemer offline dersom de ikke kan oppdateres umiddelbart.
27 Følg relevante råd fra leverandører og myndigheter for ditt oppsett, særlig hvis PHP følger med et produkt eller driftes av en hostingleverandør.
Kort sagt: Finn ut hvor PHP kjører, installer rettelsen som gjelder for systemet, og undersøk sikkerhetsvarsler grundig. PHP2Shell er alvorlig nok til at det haster – men et angrepsforsøk, en fungerende utnyttelse og et bekreftet innbrudd er ikke det samme.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: To kritiske PHP-sårbarheter krever rask oppdatering"?
PHP2Shell består av to kritiske sårbarheter, begge vurdert til 9,2 etter CVSS v4.0.
What are the key points to validate first?
PHP2Shell består av to kritiske sårbarheter, begge vurdert til 9,2 etter CVSS v4.0. Feilene gjelder blant annet PHPs håndtering av minnemangel og utdatert intern tilstand.