AnswersPublished17 sources
PHP2Shell: Så skyddar ni webbservrarna mot de kritiska PHP-felen
PHP2Shell är samlingsnamnet för CVE 2026 109618 och CVE 2026 109619, två kritiska fel som kan möjliggöra fjärrkörning av kod utan inloggning. PHP används av webbplatser och tjänster byggda med bland annat WordPress, Drupal och Joomla.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- PHP2Shell är samlingsnamnet för CVE 2026 109618 och CVE 2026 109619, två kritiska fel som kan möjliggöra fjärrkörning av kod utan inloggning.
- PHP används av webbplatser och tjänster byggda med bland annat WordPress, Drupal och Joomla.
- PHP släppte säkerhetsuppdateringar den 21 oktober 2026. Singapore uppmanade organisationer att agera snabbt dagen därpå; en uppdatering bör följas av en separat kontroll av möjliga intrång.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the two critical PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619), how can attackers exploit them without login cred. Article summary: PHP2Shell is the collective name for two critical PHP runtime vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can enable remote code execution without authentication. [7][8] PHP maintainers released emergency . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell är namnet på två kritiska sårbarheter i PHP: CVE-2026-109618 och CVE-2026-109619. De kan möjliggöra fjärrkörning av kod utan autentisering. Det innebär att en angripare kan försöka köra kod på en berörd server utan att först logga in. PHP:s utvecklare släppte säkerhetsuppdateringar den 21 oktober 2026. Dagen efter uppmanade Gwenda Fong, chef för Singapores cybersäkerhetsmyndighet CSA, organisationer att agera snabbt. 5
6
Det viktigaste att känna till
- Felen finns i PHP-körmiljön. Risken gäller alltså inte bara ett visst webbpubliceringssystem eller en enskild webbplats.
5
24
- Kodkörning utan inloggning kan få allvarliga följder. Angripare kan i värsta fall ta kontroll över en webbserver, komma åt data eller störa tjänster.
- En sårbar installation betyder inte automatiskt att den har blivit hackad. Organisationer behöver både installera rätt säkerhetsuppdatering och undersöka separat om systemet kan ha utsatts för intrång. CSA har publicerat vägledning om hur man hittar sårbara PHP-installationer och bevakar tecken på försök till utnyttjande.
Vad är det som brister i PHP?
Sårbarheterna rör hur PHP hanterar minne och tillståndet för en begäran. En teknisk beskrivning anger att CVE-2026-109618 handlar om hantering av slut på minne, vilket kan lämna begärans tillstånd i ett felaktigt läge. CVE-2026-109619 gäller globalt tillstånd som hör till en begäran men används efter att minnet frigjorts. Sådana fel kan öppna en väg till fjärrkörning av kod. 1
I praktiken är problemet att en sårbar PHP-tjänst kan ta emot en skadlig begäran utan att kräva ett giltigt användarkonto. Om utnyttjandet lyckas körs koden med den åtkomst som tjänsten har. Konsekvenserna beror därför också på serverns behörigheter och konfiguration. I rapporteringen om Singapores varning nämns risken att angripare tar över webbservrar, stjäl data eller stör tjänster. 11
24
Varför uppmanade Singapore till snabba åtgärder?
PHP driver många webbplatser och nättjänster, även sådana som bygger på WordPress, Drupal och Joomla. Därför räcker det inte att utgå från vilken webbplattform som används: organisationer behöver kontrollera själva PHP-körmiljön bakom tjänsten. 9
24
Tidpunkten spelade också roll. PHP-uppdateringarna kom den 21 oktober och Fong uppmanade organisationer att agera redan den 22 oktober. CSA varnade för att organisationer – särskilt mindre och medelstora företag – kanske inte vet att de har berörda system. Det betyder att systemen kan vara exponerade, inte att alla sårbara organisationer redan har utsatts för intrång. 6
9
CSA uppgav också att myndigheten arbetade med offentliga organ, ägare av kritisk infrastruktur, större företag och branschpartner för att påskynda uppdateringarna. Mindre organisationer skulle nås via företagsorganisationer, cybersäkerhetsleverantörer och teknikpartner. 27
Så bör organisationer agera
- Kartlägg alla PHP-installationer. Ta reda på vilka PHP-körmiljöer som används för webbplatser, applikationer och nättjänster – även sådana som sköts av en webbutvecklare eller ett webbhotell. CSA:s varning innehåller vägledning för att identifiera sårbara installationer.
- Uppdatera exponerade system först. Installera den säkerhetsuppdatering som gäller för PHP-versionen och driftsmiljön, med prioritet på tjänster som är åtkomliga från internet. Kontrollera att själva PHP-tjänsten har uppdaterats, inte bara webbplatsens programvara. PHP-uppdateringarna släpptes den 21 oktober.
6
- Undersök om systemet kan ha utnyttjats. En uppdatering minskar den fortsatta risken, men visar inte om någon hann ta sig in före uppdateringen. Granska tillgängliga säkerhetsloggar och följ CSA:s råd om bevakning av möjliga angrepp.
- Be om hjälp om statusen är oklar. Kontakta IT-avdelningen, webbutvecklaren eller webbhotellet och be dem bekräfta vilken PHP-version som körs, om rätt uppdatering är installerad och om det finns tecken på intrång. Det kan vara särskilt viktigt för mindre verksamheter som använder externa leverantörer.
27
- Följ CSA:s tekniska vägledning. SingCERT:s varning, Critical Vulnerabilities in PHP (PHP2Shell), innehåller ytterligare råd till webbplatsägare, tjänsteleverantörer, systemadministratörer och säkerhetsteam.
Börja med att ta reda på vilka PHP-tjänster som är exponerade och se till att rätt uppdatering installeras. Om ett system var sårbart före uppdateringen behöver organisationen också kontrollera om det kan ha utsatts för intrång – det steget blir inte överflödigt bara för att systemet har patchats. 5
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: Så skyddar ni webbservrarna mot de kritiska PHP-felen"?
PHP2Shell är samlingsnamnet för CVE 2026 109618 och CVE 2026 109619, två kritiska fel som kan möjliggöra fjärrkörning av kod utan inloggning.
What are the key points to validate first?
PHP2Shell är samlingsnamnet för CVE 2026 109618 och CVE 2026 109619, två kritiska fel som kan möjliggöra fjärrkörning av kod utan inloggning. PHP används av webbplatser och tjänster byggda med bland annat WordPress, Drupal och Joomla.
What should I do next in practice?
PHP släppte säkerhetsuppdateringar den 21 oktober 2026. Singapore uppmanade organisationer att agera snabbt dagen därpå; en uppdatering bör följas av en separat kontroll av möjliga intrång.
Sources