AnswersPublished24 sources
PHP2Shell: Når viktig programvare mangler ressurser til sikkerhetsarbeid
PHP2Shell omfattet to sårbarheter som kunne gi uvedkommende mulighet til å kjøre kode på avstand. PHP brukes ifølge anslag på opptil 70 prosent av nettsteder.
Publisert avRedigert med GPT-6 LunaBilder generert med GPT Image 2
Research answer
Key takeaways
- PHP2Shell omfattet to sårbarheter som kunne gi uvedkommende mulighet til å kjøre kode på avstand.
- PHP brukes ifølge anslag på opptil 70 prosent av nettsteder. Kildene som er tilgjengelige, bekrefter ikke påstanden om at over 33 millioner systemer fortsatt var sårbare 23.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell ble en tydelig påminnelse om hvor mye av nettet som er avhengig av programvare som få tenker på til daglig – og hvor viktig det er at noen har kapasitet til å holde den sikker. I oktober 2026 utløste to kritiske PHP-sårbarheter hasteoppdateringer for et språk som ifølge anslag brukes på opptil 70 prosent av nettsteder.11 Hendelsen satte også søkelys på et større spørsmål: Har prosjekter for åpen kildekode nok ressurser til å gjennomgå, rette og vedlikeholde programvare som store deler av nettet bygger på?
22
Hva skjedde med PHP2Shell?
Sårbarhetene CVE-2026-109618 og CVE-2026-109619 kunne gjøre det mulig for en angriper å kjøre kode på berørte PHP-systemer uten å logge inn. Begge fikk en alvorlighetsgrad på 9,2.9
17 Feilene lå i selve PHP-kjøremiljøet. Det betyr ikke at alle PHP-applikasjoner var usikre.
PHP publiserte rettelser 21. oktober 2026 i versjonene 8.5.12, 8.4.27, 8.3.36 og 8.2.35.18
27 Calif oppgir at sårbarhetene ble oppdaget av Calif, OpenAI og Wiz.
15 Rapporteringen beskrev også problemer med koordinert offentliggjøring: PHP-vedlikeholderne anklaget Chainguard for å ha delt informasjon før den planlagte publiseringen, og prosjektet la deretter ut oppdateringene tidligere enn planlagt.
35
37
At PHP brukes så bredt, forklarer hvorfor saken hastet. Nyhetsmedier har anslått at språket brukes på opptil 70 prosent av nettsteder, men det er et anslag på utbredelse – ikke en opptelling av sårbare eller kompromitterte nettsteder.11 Kildene som er tilgjengelige, bekrefter heller ikke den konkrete påstanden om at EFF anslo at mer enn 33 millioner systemer fortsatt var sårbare 23. oktober.
Angrepsforsøk betyr ikke at innbrudd er bekreftet
Amazon skal ha oppdaget et forsøk på å utnytte sårbarhetene 17. oktober, før oppdateringene ble offentliggjort, og senere omtalt omfattende forsøk på å utnytte feilene.34 Andre medier meldte om millioner av forsøk.
6 Samtidig ble det rapportert om føre-var-nedstengninger mens virksomheter håndterte sårbarhetene, blant annet tjenester knyttet til Japans finansdepartement og Rotterdam havn.
12
Men et angrepsforsøk er ikke det samme som et bekreftet innbrudd. BBC skrev 22. oktober at det ikke var meldt om vellykkede utnyttelser, og Security Affairs meldte dagen etter at vellykket utnyttelse fortsatt ikke var bekreftet.9
31 Forskjellen kan skyldes at rapportene dekker ulike tidsrom eller bruker ordet «utnyttelse» på ulike måter. Kildene gir grunnlag for bekymring over angrepsaktivitet, men ikke for å konkludere med at millioner av systemer ble hacket.
Sikkerhet i åpen kildekode krever mer enn å finne feil
PHP2Shell viser hvor viktig det er å oppdage feil i sentral programvare – også i prosjekter som har eksistert lenge. Men oppdagelsen er bare første steg. Feil må vurderes, rettelser gjennomgås og publiseres, og de som drifter systemene må finne ut om de er berørt og installere oppdateringene. Sovereign Tech har uttrykkelig omtalt hendelsen som et eksempel på et finansieringsgap innen sikkerhet for kritisk åpen kildekode.22
Dermed er kapasiteten til å håndtere sikkerhetsarbeidet minst like viktig som antallet feil som blir oppdaget. Flere funn kan gi mer arbeid for vedlikeholderne og de som beskytter systemene. Men en rapportert økning i sårbarheter viser ikke i seg selv at programvare blir mindre sikker, eller at kunstig intelligens er årsaken til økningen. Å finne en feil skaffer heller ikke automatisk folkene som trengs for å kontrollere funnet, koordinere offentliggjøringen og levere en pålitelig rettelse.
Den nøkterne konklusjonen er ikke at PHP i seg selv er usikkert. Den er at programvare som brukes på en stor del av nettet, trenger jevnlig sikkerhetsgjennomgang og vedlikehold – og at raskere feiloppdagelse gjør dette arbeidet enda viktigere.11
22
Dette bør PHP-driftspersonell gjøre
For organisasjoner som bruker PHP, er de praktiske stegene:
- Kartlegg systemer som er tilgjengelige fra internett. Finn tjenestene som bruker PHP, og noter hvilken versjon de faktisk kjører.
- Installer riktig rettelse. Bruk oppdateringen for den aktuelle PHP-grenen, eller følg bekreftet veiledning fra leverandøren dersom PHP er pakket eller vedlikeholdt av en leverandør. PHP publiserte rettede versjoner 21. oktober.
18
27
- Kontroller at oppdateringen er tatt i bruk. Sjekk at tjenestene og PHP-prosessene kjører den oppdaterte versjonen. Publisert driftsveiledning anbefaler også å starte PHP-arbeidere på nytt etter oppdatering.
32
- Vær presis når dere omtaler hendelser. Skill mellom berørte systemer, angrepsforsøk, bekreftede innbrudd og påstander som ikke er verifisert. Føre-var-nedstengninger og angrepstrafikk viser ikke i seg selv at et system er kompromittert.
Den viktigste lærdommen fra PHP2Shell handler om hele sikkerhetskjeden: oppdagelse, gjennomgang, koordinert offentliggjøring, publisering av rettelser og installering av dem. Å finansiere vedlikeholdet som får denne kjeden til å fungere, er en del av å beskytte kritisk infrastruktur med åpen kildekode – ikke et valgfritt tillegg.22
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Når viktig programvare mangler ressurser til sikkerhetsarbeid"?
PHP2Shell omfattet to sårbarheter som kunne gi uvedkommende mulighet til å kjøre kode på avstand.
What are the key points to validate first?
PHP2Shell omfattet to sårbarheter som kunne gi uvedkommende mulighet til å kjøre kode på avstand. PHP brukes ifølge anslag på opptil 70 prosent av nettsteder. Kildene som er tilgjengelige, bekrefter ikke påstanden om at over 33 millioner systemer fortsatt var sårbare 23.