AnswersPublished25 sources
PHP2Shell: det här hände – och PHP-versionerna som är uppdaterade
PHP släppte den 21 oktober 2026 säkerhetsfixar för två kritiska sårbarheter som kunde möjliggöra fjärrkörning av kod utan inloggning. Fixarna finns i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- PHP släppte den 21 oktober 2026 säkerhetsfixar för två kritiska sårbarheter som kunde möjliggöra fjärrkörning av kod utan inloggning.
- Fixarna finns i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Serveransvariga bör kontrollera sina PHP versioner och uppdatera till en fixad version för rätt versionsgren.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell är namnet på två kritiska sårbarheter i PHP, registrerade som CVE-2026-109618 och CVE-2026-109619. PHP släppte säkerhetsfixar den 21 oktober 2026 efter att uppgifter om bristerna läckt före den planerade offentliggörandetidpunkten. Dagen därpå rapporterade säkerhetsföretag en kraftig ökning av exploateringsförsök. 1
2
9
19
PHP uppskattas användas på omkring 70 procent av världens webbplatser, vilket bidrog till den stora brådskan. Men det betyder inte att 70 procent av webbplatserna var sårbara i praktiken eller hade blivit utsatta för intrång. 18
19
Vad kunde PHP2Shell göra?
Bristerna beskrevs som sårbarheter för fjärrkörning av kod utan autentisering. Under berörda förhållanden kunde en angripare alltså köra kod på en sårbar server utan att först logga in. Den ena sårbarheten gällde korruption i samband med slut på minne; den andra rörde ett föråldrat globalt tillstånd. 6
7
Rapportering pekade på att den berörda versionshistoriken sträckte sig tillbaka till PHP 5.4. Det innebär inte att varje webbplats med PHP var sårbar oavsett konfiguration – och inte heller att varje sårbar server faktiskt hade angripits. 14
21
Fixarna kom efter en tidig läcka
PHP publicerade uppdaterade versioner den 21 oktober: 8.5.12, 8.4.27, 8.3.36 och 8.2.35. 1
6 Det skedde efter att information om bristerna läckt den 20 oktober, före den planerade offentliggörandetidpunkten den 22 oktober. Den tidiga läckan rubbade den samordnade tidsplanen och följdes av en akut patchrelease.
2
9
13
För den som ansvarar för en PHP-miljö är nästa steg att kontrollera vilken version som körs på varje server som tar emot webbtrafik och installera en säkerhetsfixad version för den aktuella versionsgrenen. Säkerhetsråd betonar att man bör gå igenom webbservrar som kör PHP, inte utgå från att problemet bara gäller en viss webbplats eller applikation. 7
11
AI bidrog till forskningen – men arbetet var inte enmansverk
OpenAI uppgav att säkerhetsföretaget Calif identifierade en av bristerna med hjälp av GPT-5.6 Sol inom ramen för initiativet Patch the Planet. Wiz upptäckte och rapporterade oberoende båda sårbarheterna. PHP:s utvecklare ansvarade för säkerhetsfixarna och lanseringen. 48
OpenAI uppgav också att organisationen under de föregående två månaderna samordnat arbetet med utvecklare, forskare och säkerhetsleverantörer. Händelsen visar hur AI användes i sårbarhetsforskning, men är inte belägg för att ett AI-system på egen hand upptäckte, verifierade eller åtgärdade bristerna. Källorna beskriver ett arbete där AI-verktyg användes tillsammans med säkerhetsföretag och PHP:s utvecklare. 35
48
Fler exploateringsförsök – men ingen global siffra över intrång
Cloudflare rapporterade att antalet försök ökade från tusental före offentliggörandet till miljontal efteråt. Amazon uppges ha sett ett exploateringsförsök redan den 17 oktober, fyra dagar före offentliggörandet. Det handlar om rapporterade försök, inte en räkning av lyckade intrång. 19
Säkerhetsleverantörer rapporterade också aktivitet utanför så kallade honeypots – lockbeten som används för att upptäcka angrepp – men uppgav samtidigt att myndigheter inte hade bekräftat rapporterna då. 17 Separat rapporterades att myndighetswebbplatser och tjänster stängdes av i förebyggande syfte, däribland fler än 30 brittiska myndighetstjänster.
23
NSA varnade för att angripare skulle kunna ta kontroll över webbservrar, stjäla data, störa tjänster eller ta sig vidare in i nätverk. USA Today rapporterade att myndigheten rådde webbplatser som inte kunde åtgärda problemet snabbt att gå offline. 18
23
Sammantaget beskriver rapporterna en snabb säkerhetsinsats och stora mängder angreppstrafik. De fastställer däremot inte hur många lyckade intrång som skett globalt. Uppskattningen av hur vanligt PHP är ska inte läsas som en siffra över bekräftad sårbarhet eller komprometterade webbplatser.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: det här hände – och PHP-versionerna som är uppdaterade"?
PHP släppte den 21 oktober 2026 säkerhetsfixar för två kritiska sårbarheter som kunde möjliggöra fjärrkörning av kod utan inloggning.
What are the key points to validate first?
PHP släppte den 21 oktober 2026 säkerhetsfixar för två kritiska sårbarheter som kunde möjliggöra fjärrkörning av kod utan inloggning. Fixarna finns i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Serveransvariga bör kontrollera sina PHP versioner och uppdatera till en fixad version för rätt versionsgren.