AnswersPublished22 sources
AI hjälpte till att hitta allvarliga PHP-fel – nu gäller det att hinna täppa till dem
PHP2Shell är namnet på två PHP sårbarheter med allvarlighetsgraden 9,2 och potential att låta angripare köra kod på distans utan autentisering. PHP publicerade säkerhetsuppdateringar den 21 oktober 2026.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- PHP2Shell är namnet på två PHP sårbarheter med allvarlighetsgraden 9,2 och potential att låta angripare köra kod på distans utan autentisering.
- PHP publicerade säkerhetsuppdateringar den 21 oktober 2026. CISA lade senare till båda sårbarheterna i sin katalog över kända, aktivt utnyttjade sårbarheter och uppmanade organisationer att uppdatera omedelbart.
- Uppgiften att PHP används på omkring 70 procent av webbplatserna beskriver språkets räckvidd – inte andelen webbplatser som bekräftats vara sårbara.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the PHP2Shell episode reveal about AI’s impact on cybersecurity, including PHP’s use by roughly 70% of websites; the discovery in. Article summary: PHP2Shell illustrates AI’s double-edged impact: it can uncover dangerous, long-hidden vulnerabilities and help coordinate repairs, while also shortening the time defenders have before attackers exploit them. The evidence. Topic tags: general, government, general web, user generated, education. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, wate
PHP2Shell visar AI:s dubbla roll inom cybersäkerhet. AI-assisterad forskning bidrog till att upptäcka två allvarliga sårbarheter i PHP. Efterföljande uppgifter om utnyttjande understryker hur snabbt försvarare kan behöva agera. Att hitta en sårbarhet är bara en del av säkerhetsarbetet: organisationer måste också kunna verifiera problemet, samordna informationen och installera en lösning. 16
32
1
Vad hände med PHP2Shell?
PHP2Shell syftar på CVE-2026-109618 och CVE-2026-109619, två sårbarheter i PHP. Kanadas cybersäkerhetsmyndighet beskriver dem som så kallade use-after-free-fel – minnesfel där ett program använder data efter att minnet har frigjorts. En angripare kan enligt myndigheten utnyttja felen för att köra valfri kod på ett berört system utan att först logga in. Båda sårbarheterna har fått allvarlighetsgraden 9,2. 2
14
PHP:s stora spridning gör frågan betydelsefull. I rapporteringen anges att språket används på omkring 70 procent av webbplatserna. Det betyder däremot inte att 70 procent av webbplatserna har bekräftats vara sårbara: den faktiska exponeringen beror bland annat på om webbplatsen kör en berörd, ouppdaterad PHP-version. CISA uppger att sårbarheterna berör PHP-installationer som hanterar webbförfrågningar. 32
44
1
Sårbarheterna upptäcktes med hjälp av AI-assisterad forskning. Calif har beskrivit sitt arbete med felen, och annan rapportering uppger att Califs forskare använde OpenAI:s GPT-5.6 Sol genom initiativet Patch the Planet. Säkerhetsföretaget Wiz rapporterade också en oberoende upptäckt. 16
34
PHP publicerade rättningar den 21 oktober 2026. Bland de versioner som innehåller rättningarna finns PHP 8.2.35, 8.3.36, 8.4.27 och 8.5.12. NSA rekommenderade att systemen uppdateras. CISA lade senare till båda CVE-numren i sin katalog över kända, aktivt utnyttjade sårbarheter och uppmanade organisationer att installera uppdateringarna omedelbart. 3
17
1
Vad säger händelsen om AI och säkerhet?
AI kan hjälpa till att hitta svårupptäckta fel
PHP2Shell visar hur AI-assisterad analys kan bidra till att hitta sårbarheter i programvara som används brett. I det här fallet riktades forskningen mot själva PHP, inte bara mot enskilda webbplatser eller applikationer byggda med språket. 16
32
Det är en fördel för försvarare, men AI är inte i sig en säkerhetslösning. Ett fel måste fortfarande bekräftas, rapporteras på ett ansvarsfullt sätt, åtgärdas av utvecklarna och patchas i de system som kan vara utsatta. PHP:s uppdateringar och myndigheternas brådskande råd var viktiga delar av arbetet. 3
17
1
Snabbare upptäckter ökar pressen på uppdatering och samordning
När en sårbarhet blir känd behöver utvecklare och organisationer ta reda på vilka system som berörs och installera uppdateringar. CISA:s brådskande uppmaning och den senare KEV-listningen – en amerikansk katalog över kända, utnyttjade sårbarheter – visar varför tempot i hanteringen spelar roll. Myndighetens uppdatering stöder slutsatsen att sårbarheterna har utnyttjats i verkliga angrepp. Den visar däremot inte att AI orsakade angreppen eller hur många system som komprometterades. 1
Skillnaden är viktig: AI-assisterad forskning kan göra vägen till en upptäckt kortare, men ett effektivt försvar kräver också praktiskt arbete. Organisationer behöver veta var PHP används, utse ansvariga och installera rätt uppdatering. Rapporteringen om PHP:s hantering av offentliggörandet pekar även på de samordningsproblem som kan uppstå när ett stort open source-projekt behöver hantera en allvarlig sårbarhet. 46
Ett högt riskbetyg visar inte hur många som drabbats
En poäng på 9,2 markerar en allvarlig sårbarhet. Den betyder inte att alla PHP-webbplatser går att angripa eller att varje sårbart system har utsatts. CISA:s varning gäller berörda PHP-installationer som hanterar webbförfrågningar. Risken för en viss organisation beror bland annat på programversion, konfiguration och om systemet har uppdaterats. 14
1
Även uppgifter om utnyttjande behöver läsas med hänsyn till när de publicerades och vad de omfattar. CISA:s senare KEV-uppdatering är belägg för utnyttjande. Tidigare uttalanden från säkerhetsföretag beskrev vad de hade – eller inte hade – sett i sin egen övervakning vid den tidpunkten. Det behöver inte vara en motsägelse: företagens insyn och rapporteringstidpunkter kan skilja sig åt. 1
23
25
Vad bör webbplatsansvariga göra?
- Installera den PHP-uppdatering som passar er miljö. De angivna versionerna med rättningar är 8.2.35, 8.3.36, 8.4.27 och 8.5.12. Kontrollera den officiella versionsinformationen eller leverantörens råd för rätt uppdateringsväg.
3
- Prioritera PHP-system som hanterar webbförfrågningar. CISA uppmanar uttryckligen organisationer att omedelbart uppdatera berörda installationer.
1
- Se andra säkerhetsåtgärder som komplement, inte ersättning. Multifaktorautentisering och unika lösenord är bra skydd för konton, men de åtgärdar inte ett fel på serversidan som kan möjliggöra kodkörning utan autentisering.
Slutsatsen
PHP2Shell visar att AI-assisterad forskning kan bidra till att blottlägga allvarliga fel i programvara – och att sådana upptäckter kan öka pressen på försvarare att agera snabbt. Händelsen bevisar inte att fler AI-upptäckta sårbarheter automatiskt leder till fler lyckade angrepp. För att bedöma det behövs belägg om faktiska intrång, hur snabbt system uppdateras och vilka resultat försvarsåtgärderna ger – inte bara hur många sårbarheter som hittas.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "AI hjälpte till att hitta allvarliga PHP-fel – nu gäller det att hinna täppa till dem"?
PHP2Shell är namnet på två PHP sårbarheter med allvarlighetsgraden 9,2 och potential att låta angripare köra kod på distans utan autentisering.
What are the key points to validate first?
PHP2Shell är namnet på två PHP sårbarheter med allvarlighetsgraden 9,2 och potential att låta angripare köra kod på distans utan autentisering. PHP publicerade säkerhetsuppdateringar den 21 oktober 2026. CISA lade senare till båda sårbarheterna i sin katalog över kända, aktivt utnyttjade sårbarheter och uppmanade organisationer att uppdatera omedelbart.
What should I do next in practice?
Uppgiften att PHP används på omkring 70 procent av webbplatserna beskriver språkets räckvidd – inte andelen webbplatser som bekräftats vara sårbara.
Sources
calif.ioA tale of two PHP remote vulnerabilities - Calif
wiz.ioPHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet
cyber.gc.caAL26-026 - Critical vulnerabilities impacting PHP - CVE-2026-109618 and CVE-2026-109619 - Canadian Centre for Cyber Security