AnswersPublished33 sources
PHP2Shell: två kritiska PHP-sårbarheter – så bör du agera
PHP2Shell är namnet på två kritiska minnessäkerhetsbrister i PHP som under vissa förutsättningar kan möjliggöra fjärrkörning av kod utan inloggning. Uppdatera PHP miljön som hanterar webbtrafik, eller installera leverantörens åtgärd, och kontrollera att den aktiva tjänsten faktiskt kör den rättade versionen.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- PHP2Shell är namnet på två kritiska minnessäkerhetsbrister i PHP som under vissa förutsättningar kan möjliggöra fjärrkörning av kod utan inloggning.
- Uppdatera PHP miljön som hanterar webbtrafik, eller installera leverantörens åtgärd, och kontrollera att den aktiva tjänsten faktiskt kör den rättade versionen.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell är samlingsnamnet på två kritiska sårbarheter i PHP:s körtidsmiljö: CVE-2026-109618 och CVE-2026-109619. Under vissa förutsättningar kan de göra det möjligt för en angripare att köra kod på en server utan att först logga in. PHP publicerade rättningar den 21 oktober 2026 för versionerna 8.2.35, 8.3.36, 8.4.27 och 8.5.12.5
36 Den viktigaste åtgärden är att uppdatera PHP-miljön som hanterar webbtrafik – eller installera den berörda produktleverantörens rättning – och sedan kontrollera att uppdateringen verkligen används.
Vad de två sårbarheterna gör
Båda bristerna handlar om minnessäkerhet i PHP självt, inte om en viss webbplats applikationskod. Forskningen beskriver angreppsvägar där PHP kan hantera minne som redan frigjorts eller blivit inaktuellt.6
9
- CVE-2026-109618 rör en så kallad use-after-free-sårbarhet kopplad till PHP:s hantering av uppladdningsförlopp. Wiz uppger att den kan blotta minne från en PHP-arbetarprocess och, under demonstrerade förhållanden, bidra till minneskorruption och kodkörning.
6
- CVE-2026-109619 gäller minneshantering vid backtraces efter fatala fel och i OPcache. PHP:s säkerhetsinformation beskriver ett inaktuellt internt tillstånd som en senare begäran kan använda om den hanteras av samma arbetarprocess.
36
Sårbarheterna har fått betyget 9,2 på CVSS-skalan i rapporteringen.2
37 Wiz har beskrivit PHP som en teknik som används av omkring 70 procent av internet. Det är en uppskattning av PHP:s räckvidd – inte belägg för att 70 procent av webbplatserna är sårbara på samma sätt eller har angripits.
6
Vilka PHP-versioner berörs, och vilka rättningar finns?
Rapporteringen anger det sårbara versionsspannet som PHP 5.4 till och med 8.5.11.56 PHP:s publicerade rättningar finns i versionerna 8.2.35, 8.3.36, 8.4.27 och 8.5.12.
36 Om systemet kör en äldre eller version som inte längre stöds bör du fråga PHP-distributören eller produktleverantören om en stödd uppdatering eller en bakåtporterad rättning. Utgå inte från att en vanlig PHP-uppgradering finns tillgänglig.
17
54
Det räcker inte alltid att uppdatera PHP-paketet. En webbplats eller en nätverksprodukt kan använda en separat, inbyggd PHP-miljö. Ta reda på vilken installation som faktiskt hanterar webbförfrågningarna och följ produktleverantörens instruktioner för programvara som levereras med PHP.5
54
AI användes i forskningen – men tidslinjen är inte helt entydig
Forskningen tillskrivs Calif, OpenAI och Wiz, och beskrivningar av upptäckten nämner hjälp från AI-modeller.4
16 Uppgifterna om när arbetet inleddes skiljer sig åt: USA Today beskriver en första upptäckt av Calif i juli och en oberoende upptäckt av Wiz i augusti, medan The Register placerar forskarnas arbete mellan augusti och september.
4
47 Även Google-modeller nämns i annan rapportering, men det tillgängliga materialet fastställer inte exakt vad varje modell bidrog med eller hur stor del av arbetet som var automatiserad.
50
Skillnaden är viktig: underlaget stöder att AI bidrog i forskningen, inte att ett AI-system på egen hand upptäckte, verifierade och åtgärdade båda sårbarheterna. Mänskliga forskare och underhållsansvariga deltog i den rapporterade upptäckten och hanteringen.4
16
Vad kopplingen till PAN-OS innebär
Palo Alto Networks har publicerat ett säkerhetsmeddelande om hur de två PHP-sårbarheterna påverkar företagets produkter, däribland produktfamiljen PAN-OS.34
35 Det betyder inte i sig att varje PAN-OS-installation kan angripas via samma väg som en PHP-webbserver. Produktens konfiguration och leverantörens rättningar spelar roll.
Administratörer bör kontrollera Palo Alto Networks aktuella säkerhetsmeddelande för sin specifika produkt och programvaruversion och följa leverantörens uppdateringsinstruktioner. Lita inte på tidsplaner för snabbfixar från tredjepart som bekräftelse på att en rättning faktiskt finns: en spridd statuslista anger uttryckligen att informationen om leverantörernas status är AI-genererad och bör verifieras.21
Rapporter om angreppsförsök är inte bekräftade intrång
Rapportering från hotunderrättelseaktörer beskriver ett angreppsförsök som registrerades den 17 oktober, före den offentliga tekniska informationen och PHP-rättningarna den 21 oktober.53 Enligt Nextgov ökade den trafik som Cloudflare rapporterade från tusentals försök till miljontals.
22 Det handlar om försök till angrepp – inte om hur många servrar som faktiskt togs över.
Uppgifterna om lyckade angrepp har varierat. BBC uppgav den 22 oktober att det då inte fanns några rapporterade lyckade angrepp.18 Palo Alto Networks Unit 42 uppgav senare att de inte kunde bekräfta att aktivitet som de först kopplat till PHP2Shell orsakades av just dessa CVE:er, och drog tillbaka sin tidigare uppdatering.
30 Utifrån underlaget finns rapporter om angreppsförsök, men det är oklart om lyckade intrång som kan knytas till PHP2Shell har bekräftats.
Enligt rapporteringen tog myndigheter och företag tillfälligt vissa onlinetjänster ur drift i väntan på eller medan de installerade rättningar.26
51 Att en tjänst stängdes av i förebyggande syfte är inte ett bevis på att organisationen hade blivit angripen.
Praktiska åtgärder för organisationer och webbplatsägare
- Hitta alla PHP-miljöer. Kontrollera webbplatser, applikationsservrar, containrar, webbhotell och nätverksprodukter. Be leverantörer av drift eller förvaltning bekräfta vilken PHP-miljö som används och vilken rättning som gäller.
- Installera en verifierad uppdatering. Använd en rättad PHP-version eller ett leverantörspaket som innehåller korrigeringarna. För produkter med inbyggd PHP ska du följa produktleverantörens instruktioner.
17
54
- Kontrollera den aktiva tjänsten. Säkerställ att det är PHP-miljön som hanterar webbtrafiken – inte bara en separat kommandoradsinstallation – som har uppdaterats. Kontrollera också att nödvändiga processer eller tjänster kör den rättade versionen.
- Minska exponeringen om du inte kan uppdatera direkt. NSA rekommenderar att leverantörernas rättningar prioriteras och att system tas ur drift om en omedelbar uppdatering inte är möjlig.
25
- Håll patchning och intrångsutredning isär. En uppdatering stänger sårbarheten, men visar inte om ett tidigare intrång har skett. Granska relevanta loggar och systemaktivitet om det finns skäl att misstänka att systemet har angripits.
Om du äger en webbplats men inte sköter servern själv, kontakta webbhotellet eller administratören och fråga om PHP-miljön har uppdaterats. Installera inte rättningar från oombedda meddelanden; följ leverantörens officiella instruktioner.
Den viktiga skillnaden är enkel: ett system kan vara sårbart, någon kan försöka utnyttja sårbarheten och systemet kan bli komprometterat. Det är tre olika saker. Uppdatera berörd PHP-miljö, kontrollera med leverantören vad som gäller för produkter som PAN-OS och utred misstänkta intrång separat.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: två kritiska PHP-sårbarheter – så bör du agera"?
PHP2Shell är namnet på två kritiska minnessäkerhetsbrister i PHP som under vissa förutsättningar kan möjliggöra fjärrkörning av kod utan inloggning.
What are the key points to validate first?
PHP2Shell är namnet på två kritiska minnessäkerhetsbrister i PHP som under vissa förutsättningar kan möjliggöra fjärrkörning av kod utan inloggning. Uppdatera PHP miljön som hanterar webbtrafik, eller installera leverantörens åtgärd, och kontrollera att den aktiva tjänsten faktiskt kör den rättade versionen.