AnswersPublished23 sources
PHP2Shell: två kritiska PHP-sårbarheter får betyget 9,2
PHP2Shell är samlingsnamnet för två kritiska sårbarheter i PHP. Båda har CVSS betyget 9,2 och kan möjliggöra fjärrkörning av kod utan inloggning.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- PHP2Shell är samlingsnamnet för två kritiska sårbarheter i PHP. Båda har CVSS betyget 9,2 och kan möjliggöra fjärrkörning av kod utan inloggning.
- Sårbarheterna gäller bland annat hantering av minnesbrist och föråldrat internt tillstånd.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell är namnet på två kritiska sårbarheter i PHP:s kärna: CVE-2026-109618 och CVE-2026-109619. Båda har betyget 9,2 – Critical – enligt CVSS v4.0 och kan göra det möjligt för en angripare att köra kod på en sårbar server utan att logga in. PHP-projektet släppte akuta säkerhetsuppdateringar den 21 oktober 2026. 
Det viktigaste för den som ansvarar för en PHP-server är att installera rätt uppdatering. Rapporter om exploateringsförsök, däribland en observation i Amazons honeypot före offentliggörandet, motiverar skyndsamhet. Men ett försök mot ett lockbete är inte i sig bevis för att en angripare har tagit sig in i ett produktionssystem. 36
Vad är det för sårbarheter?
Sårbarheterna har olika tekniska orsaker:
- CVE-2026-109618 rör hantering av minnesbrist. När minnet tar slut kan PHP avbryta behandlingen medan interna uppgifter om förfrågan bara delvis har initierats. Vid upprensningen kan PHP sedan hantera ogiltiga data som om de vore giltiga.
58
- CVE-2026-109619 rör gammalt internt tillstånd. Enligt rapporterna kan information kopplad till en förfrågan finnas kvar efter att minnet den låg i har frigjorts. Det skapar ett så kallat use-after-free-problem.
9
Problemen gäller PHP:s hantering av specialkonstruerade HTTP-förfrågningar, bland annat multipart-formulär – ett format som ofta används vid filuppladdningar. 1
Vad innebär betyget 9,2?
Båda sårbarheterna har fått betyget 9,2 av 10, Critical, enligt CVSS v4.0. En viktig del av risken är att fjärrkörning av kod kan ske utan autentisering: angriparen behöver alltså inte logga in för att försöka köra kod på en berörd server.
Underlaget innehåller inte hela CVSS-bedömningsvektorerna. Därför går det inte att göra en exakt genomgång av hur de enskilda bedömningsfaktorerna leder fram till betyget 9,2. Betyget beskriver sårbarheternas allvar – inte sannolikheten för att en viss server angrips eller om ett rapporterat försök lyckades.
Berörda PHP-versioner och uppdateringar
Rapporter beskriver det berörda versionsspannet som PHP 5.4 och senare. 55 PHP har släppt följande åtgärdade versioner för 8.x-grenarna:
| PHP-gren | Åtgärdad version |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Versionerna släpptes den 21 oktober 2026. Uppdatera till den åtgärdade versionen för din gren, eller till en senare version inom samma gren.
De listade uppdateringarna gäller PHP 8.2–8.5. Om du använder en äldre eller ej längre underhållen gren ska du kontrollera med PHP-distributören eller operativsystemets leverantör vilka säkerhetsfixar och uppgraderingsråd som gäller. Utgå inte från att en av versionerna i tabellen passar direkt.
Offentliggörandet och rapporterna om exploatering
Sårbarheterna blev offentligt kända den 20 oktober, före det planerade offentliggörandet den 22 oktober. PHP släppte säkerhetsfixarna den 21 oktober. 8
42 Källorna stödjer uppgifterna om det förtida offentliggörandet och den tidigarelagda uppdateringen, men visar inte att en felpublicerad demonstrationsvideo från Calif var orsaken.
Amazon Threat Intelligence uppger att en honeypot i tjänsten MadPot registrerade ett exploateringsförsök den 17 oktober – fyra dagar innan sårbarheterna blev offentliga. Amazon uppgav också att man identifierade proof-of-concept-exploiter ungefär när uppdateringarna släpptes den 21 oktober. Honeypotdata visar aktivitet riktad mot ett lockbete, inte en bekräftad kompromettering av en verklig organisation.
Cloudflare uppgav att de infört skydd kring offentliggörandet, och rapporter från samma period beskriver angreppstrafik eller försök som observerats av säkerhetsföretag. 55
35 Uppgifterna om omfattningen och framgången går isär: vissa leverantörer rapporterade pågående eller omfattande exploatering, medan annan rapportering från samma period uppgav att myndigheter inte hade bekräftat lyckade angrepp.
33
36
Det finns alltså skäl att ta exploateringsförsök på allvar, men inte att tolka varje försök som ett lyckat intrång eller slå fast att angreppen varit omfattande. Håll isär rapporterade försök, fungerande exploatering och bekräftade intrång när du bedömer risk och granskar incidentrapporter.
Gör så här medan du uppdaterar
Installera den åtgärdade PHP-versionen. AWS uppger att en uppgradering är den enda fullständiga åtgärden. Om du inte kan uppdatera omedelbart kan tillfälliga skyddsåtgärder, som att blockera multipart-filuppladdningar, minska exponeringen. De ersätter inte uppdateringen.
Kanadas Cyber Centre har utfärdat en kritisk varning om sårbarheterna och risken för kodkörning utan autentisering. 2 De tillgängliga källorna rapporterar också att NSA rekommenderat organisationer att ta system offline om de inte kan uppdateras omgående.
27 Följ relevanta råd från leverantörer och myndigheter för din miljö, särskilt om PHP ingår i en produkt eller hanteras av ett webbhotell.
Kort sagt: ta reda på var PHP körs, installera rätt uppdatering och granska säkerhetslarm med eftertanke. PHP2Shell är allvarligt och kräver snabba åtgärder – men ett attackförsök, en fungerande exploit och ett bekräftat intrång i en produktionsmiljö är inte samma sak.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: två kritiska PHP-sårbarheter får betyget 9,2"?
PHP2Shell är samlingsnamnet för två kritiska sårbarheter i PHP. Båda har CVSS betyget 9,2 och kan möjliggöra fjärrkörning av kod utan inloggning.
What are the key points to validate first?
PHP2Shell är samlingsnamnet för två kritiska sårbarheter i PHP. Båda har CVSS betyget 9,2 och kan möjliggöra fjärrkörning av kod utan inloggning. Sårbarheterna gäller bland annat hantering av minnesbrist och föråldrat internt tillstånd.