Kritisk sikkerhedsadvarsel
PHP2Shell: opdatér PHP nu
To kritiske fejl i selve PHP, samlet kaldet PHP2Shell (CVE-2026-109618 og CVE-2026-109619), kan lade en angriber køre kode på en webserver uden at logge ind. Kører I et websted eller en webapplikation på PHP på en server, I selv administrerer, også en cloud-server hos Beriffa, så opdatér PHP nu. Dette er ikke en hændelse hos Beriffa.
Hvad der skete
Den 21. oktober 2026 udgav PHP-projektet akutte sikkerhedsopdateringer for to fejl i PHP-motoren: CVE-2026-109618 (fjernkørsel af kode via hukommelsesfejl ved out-of-memory) og CVE-2026-109619 (fjernkørsel af kode via forældet global tilstand). PHP-projektet vurderer begge som kritiske med en CVSS 4.0-score på 9,2. PHP-projektet har bekræftet virkende angreb mod begge fejl, og detaljerne slap ud før den planlagte offentliggørelse.
Hvem er berørt
Alle servere, der kører PHP til websteder eller webapplikationer i en version ældre end de rettede udgivelser, uanset hvad der kører ovenpå: WordPress, Drupal, Joomla, Magento, Laravel eller jeres egen kode. Angrebet sker, før jeres applikationskode kører, så en login-side eller andre tjek i jeres websted stopper det ikke. PHP-projektet har bekræftet angreb på Apache mod_php og PHP-FPM og nævner FrankenPHP og LiteSpeed som sandsynligt berørt. Fejlene sidder i selve PHP, så en opdatering af jeres CMS eller dets plugins retter dem ikke.
Det skal I gøre
- Opdatér PHP til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller nyere, eller installér jeres Linux-distributions opdaterede PHP-pakker, som har de samme rettelser under distributionens egne versionsnumre (Ubuntu: USN-8948-1). Ubuntus rettede pakker viser fx stadig den gamle PHP-version, så tjek pakkeversionen, ikke php -v.
- Genstart PHP bagefter (PHP-FPM, Apache eller jeres webserver). Den gamle version kører videre, indtil dens processer genstartes.
- PHP 8.1 og ældre får ingen officiel rettet udgivelse. Skift til en understøttet version, 8.2.35 eller nyere, eller brug jeres distributions tilbageporterede pakker, hvor den tilbyder dem (det gør Ubuntu, for ældre udgaver via Ubuntu Pro).
- Kører I PHP i Docker? Hent de opdaterede officielle php-images (taggene 8.5.12, 8.4.27, 8.3.36 eller 8.2.35), og udrul jeres containere igen.
- Kan jeres server være blevet angrebet, før I opdaterede, så kig efter fejl om opbrugt hukommelse i jeres PHP-logs, PHP-processer, der starter shells, og PHP-filer, I ikke selv har lagt der, og opret en supportsag. Et vellykket angreb får ikke nødvendigvis PHP til at gå ned.
Hvis I ikke kan opdatere med det samme
PHP-projektet skriver, at der ikke findes nogen fuld afhjælpning: opdatering er det eneste sikre valg. Dets midlertidige tiltag, fx session.upload_progress.enabled=0 (og fatal_error_backtraces=0 på PHP 8.5), mindsker kun risikoen på kendte angrebsveje og gør ikke en server sikker. Sæt dem i php.ini eller PHP-FPM-poolens konfiguration, og genstart alle PHP-workers.
Beriffas egne tjenester
Beriffas egne tjenester bruger ikke PHP: beriffa.com og kontrolpanelet kører på Cloudflare, og BERIFFA Keystone er bygget på .NET. Jeres Beriffa-konto og data er ikke berørt. PHP på en cloud-server installeres og administreres af jer selv, så Beriffa kan ikke opdatere det for jer.
Tidslinje
- 20. okt. 2026PHP's sikkerhedsteam varsler en kritisk sikkerhedsudgivelse. Detaljer om fejlene slipper ud før tid.
- 21. okt. 2026PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 udgives med rettelser for begge fejl, og Linux-distributionerne begynder at udsende opdaterede pakker.
- 21. okt. 2026Beriffa offentliggør denne advarsel. Vi opdaterer den, hvis PHP-projektet udgiver flere rettelser.
Officielle kilder
PHP-projektets egen advarsel, de tekniske detaljer og de rettede pakker:
Brug for hjælp?
Opret en supportsag i kontrolpanelet, så hjælper vi jer med at tjekke jeres server.