AnswersPublished22 sources
PHP2Shell: det här behöver du veta om de kritiska PHP-felen
PHP2Shell är samlingsnamnet för två PHP sårbarheter med CVSS betyget 9,2, som kan göra det möjligt att köra kod på en berörd server utan autentisering. Sårbarheternas CVE nummer läckte före den planerade offentliggörandetidpunkten, och PHP släppte säkerhetsuppdateringar i förtid.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- PHP2Shell är samlingsnamnet för två PHP sårbarheter med CVSS betyget 9,2, som kan göra det möjligt att köra kod på en berörd server utan autentisering.
- Sårbarheternas CVE nummer läckte före den planerade offentliggörandetidpunkten, och PHP släppte säkerhetsuppdateringar i förtid.
- Rapporter om exploateringsförsök är inte i sig bevis för att systemen som angripits har blivit komprometterade.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell är namnet på två kritiska sårbarheter i PHP: CVE-2026-109618 och CVE-2026-109619. Båda har fått betyget 9,2 enligt CVSS v4.0 och kan göra det möjligt för en angripare att köra kod på en berörd server utan att logga in. PHP släppte säkerhetsuppdateringar den 21 oktober 2026, efter att uppgifter om sårbarheterna hade läckt före den planerade offentliggörandetidpunkten. Rapporter om angreppsförsök kom snabbt, men ett försök är inte bevis för att en server har blivit komprometterad. 1
3
14
Vad sårbarheterna gör
Felen rör PHP:s hantering av förfrågningar och minne, inte ett enskilt webbpubliceringssystem eller ramverk. CVE-2026-109618 gäller hantering av minnesbrist, medan CVE-2026-109619 handlar om inaktuell intern status. Den rapporterade risken är fjärrkörning av kod utan autentisering. 1
14
Det innebär att versionen av själva PHP-miljön spelar roll även om det inte finns någon känd sårbarhet i webbplatsens egen kod. PHP:s vägledning omfattar installationer som tar emot webbförfrågningar. 55
Åtgärdade PHP-versioner
PHP publicerade korrigerade versioner den 21 oktober 2026. De är:
System med äldre versioner i någon av dessa grenar bör uppdateras till motsvarande korrigerade version. Uppgifter om sårbarheterna hade kommit ut före den planerade offentliggörandetidpunkten, vilket bidrog till att uppdateringarna släpptes tidigare än planerat. 3
13
33
Så läckte sårbarheternas identifierare
Ett inlägg på Hacker News den 20 oktober nämnde de två CVE-numren och uppgav att detaljer skulle offentliggöras den 22 oktober. Inlägget togs bort, men skärmbilder hann spridas. Säkerhetsforskare bekräftade senare att uppgifterna stämde och att sårbarheterna omfattades av en embargo, det vill säga en överenskommen tidsfrist före offentliggörandet. 3
Enligt rapporteringen identifierade Calif en sårbarhet med hjälp av en AI-modell från OpenAI. Wiz upptäckte och rapporterade också sårbarheterna oberoende av detta, enligt rapporter om den samordnade hanteringen. Det tillgängliga underlaget styrker inte att felen funnits i omkring 20 år, och ger inte tillräckligt med information för att koppla varje CVE till ett visst upptäcktsteam. 27
33
Försiktighetsåtgärder och myndighetsråd
Vissa organisationer stängde tillfälligt ned tjänster som en försiktighetsåtgärd medan de hanterade risken. Bland de tjänster som nämnts finns sådana kopplade till Japans finansministerium, HR-plattformen BambooHR, Rotterdams hamn och Wikimedia. Nedstängningarna är inte i sig bevis för att organisationerna utsatts för intrång. 19
USA:s cybersäkerhetsmyndighet CISA uppmanade organisationer med PHP-baserade webbplatser att installera uppdateringarna omgående. 33 Det tillhandahållna underlaget ger ingen fullständig siffra över förebyggande nedstängningar och bekräftar inte alla uppgifter om berörda sjukhus, skolor och myndighetstjänster.
Vad rapporterna om exploatering visar – och inte visar
Rapporterna beskriver aktivitet både före och efter det offentliga offentliggörandet:
- Amazon uppgav att företagets MadPot-honeypot upptäckte ett exploateringsförsök den 17 oktober, före PHP:s uppdateringar den 21 oktober. En honeypot är ett system som används för att observera angrepp. Iakttagelsen visar att ett försök riktades mot den sensorn, inte att ett intrång lyckades någon annanstans.
50
58
- Cloudflare rapporterade tusentals försök under de tio timmarna före det offentliga tillkännagivandet och miljontals efteråt. Siffrorna gäller försök som observerats i företagets nätverk, inte antalet servrar som bekräftats ha blivit komprometterade.
36
- CISA uppgav att myndigheten inte hade observerat exploatering när den publicerade sin varning. Det beskriver vad CISA hade sett vid den tidpunkten och utesluter inte försök som säkerhetsföretag upptäckt med annan telemetri.
- Sophos rättade en tidigare uppgift om lyckad exploatering i kundmiljöer. Företaget sade att dess telemetri visade skanning och ett fåtal misslyckade försök, men inga tecken på lyckade intrång i de miljöer som omfattades av uppdateringen.
7
Sammantaget motiverar rapporterna att PHP2Shell tas på allvar: försök observerades och den möjliga konsekvensen var allvarlig. Men uppgifterna visar inte att varje försök lyckades, och ger inte någon säker totalsiffra över komprometterade system.
Det här går inte att slå fast
Underlaget ger ingen tillförlitlig siffra över sårbara servrar som är åtkomliga från internet, styrker inte att felen funnits i omkring 20 år och visar inte att angripare använde AI för att utveckla attacker mot PHP2Shell. AI-stöd har rapporterats i samband med upptäcktsarbetet, men det är en annan sak än belägg för hur angripare hittade eller började utnyttja sårbarheterna. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: det här behöver du veta om de kritiska PHP-felen"?
PHP2Shell är samlingsnamnet för två PHP sårbarheter med CVSS betyget 9,2, som kan göra det möjligt att köra kod på en berörd server utan autentisering.
What are the key points to validate first?
PHP2Shell är samlingsnamnet för två PHP sårbarheter med CVSS betyget 9,2, som kan göra det möjligt att köra kod på en berörd server utan autentisering. Sårbarheternas CVE nummer läckte före den planerade offentliggörandetidpunkten, och PHP släppte säkerhetsuppdateringar i förtid.
What should I do next in practice?
Rapporter om exploateringsförsök är inte i sig bevis för att systemen som angripits har blivit komprometterade.