Udviklere og hostingkunder skal handle i dag, for fejlen sidder i selve PHP og rammer WordPress, webshops og webapplikationer over hele verden.
PHP frigiver senere i dag kl. 16.00 en nødopdatering for to kritiske sårbarheder, som allerede bliver udnyttet aktivt. EU’s cyberberedskab CERT-EU anbefaler, at hjemmesider, der ikke kan opdateres straks, tages offline.
Det skriver RTÉ, Sansec, Patchstack, ICARE SECURITY A/S
PHP er motoren bag en stor del af internettet, herunder WordPress, WooCommerce, Magento, Drupal, Joomla og Laravel. Begge sårbarheder er vurderet til 9,2 på alvorlighedsskalaen CVSS v4.0, og ifølge CERT-EU betyder det, at angribere kan køre ondsindet kode på serveren uden at logge ind.
For en hjemmeside betyder det i praksis, at en angriber kan overtage serveren, installere bagdøre, stjæle kundedata eller bruge siden til at sprede malware, uden at nogen plugin eller tema behøver at være sårbart.
“Denne her fejl er en af de mest kritiske der findes, så derfor bør advarslen følges straks”
Det siger Jesper Christiansen, Agil Udvikling A/S.
Hvorfor det haster
Sårbarhederne skulle være offentliggjort under embargo, men oplysningerne lækkede den 20. oktober, og sikkerhedsfirmaet watchTowr har bekræftet, at der er tale om fejl, der giver fjernkørsel af kode. De har fået betegnelserne CVE-2026-109618 og CVE-2026-109619 og kaldes php2shell.
Patchstack har modtaget rapporter om aktiv udnyttelse fra flere hostingpartnere, og Cloudflare oplyser, at de også ser de første angreb. Ifølge Sansec skulle rettelsen frigives kl. 14.00 UTC, eller tidligere hvis tekniske detaljer blev offentlige eller angreb begyndte.
Fakta for udviklere
| Emne | Fakta |
|---|---|
| Betegnelse | CVE-2026-109618 og CVE-2026-109619 (php2shell) |
| Alvorlighed | CVSS v4.0 9,2 (lækkede oplysninger angav 10,0) |
| Type | Fjernkørsel af kode uden login (RCE) |
| Berørte versioner | PHP 5, 6, 7 og 8 ifølge watchTowr |
| Officiel support | Kun PHP 8.2 og nyere får rettelsen |
| Rettelse | 21. oktober 2026 kl. 16.00 dansk tid |
| Status | Aktiv udnyttelse bekræftet |
PHP understøtter kun version 8.2 og nyere, så servere med PHP 8.1 eller ældre får ikke en officiel rettelse. Kører din hjemmeside på en ældre version, er den altså stadig sårbar, men der kommer ingen opdatering. Den eneste løsning er at opgradere til en understøttet version.
Midlertidige løsninger virker ikke
Sikkerhedsforskere har peget på, at fejlene skulle sidde i PHP’s håndtering af session upload progress, og i miljøet er det foreslået at slå denne funktion fra som midlertidig afhjælpning. PHP har dog ikke officielt offentliggjort de tekniske detaljer, og en af PHP’s kerneudviklere har udtalt, at opdatering er den eneste reelle beskyttelse.
Vær også opmærksom på, at PHP Foundation har advaret om, at Remis pakkearkiv ikke ville have opdateringer klar i dag. Bruger din server pakker derfra, kan opdateringen komme senere end kl. 16.00.
Tjekliste for udviklere og hostingkunder
| Handling | Sådan gør du |
|---|---|
| Find PHP versionen i WordPress | Værktøjer, Webstedets tilstand, Info, Server |
| Find PHP versionen på serveren | Kør kommandoen php -v eller tjek kontrolpanelet hos hostingudbyderen |
| Opdater straks efter kl. 16.00 | Installer den nye PHP version, så snart den er tilgængelig |
| Opgrader gamle versioner | PHP 8.1 og ældre skal opgraderes til 8.2 eller nyere |
| Test kompatibilitet | Tjek plugins, temaer og egen kode efter opgradering af PHP version |
| Kontakt hostingudbyderen | Få skriftlig bekræftelse på, hvornår serveren er opdateret |
| Gå offline hvis nødvendigt | Kan et site ikke opdateres, bør det lukkes midlertidigt |
| Tjek for kompromittering | Gennemgå logfiler, nye administratorbrugere og ukendte PHP filer |
| Skift adgangskoder | Skift database, FTP og administratoradgange, hvis der er tegn på indbrud |
| Dokumentér indsatsen | Gem dato og bekræftelse af hensyn til GDPR og NIS2 |
Også et ledelsesansvar
Sagen er ikke kun et teknisk problem. NIS2-loven trådte i kraft i Danmark den 1. juli 2025 og pålægger omkring 6.000 virksomheder krav om risikostyring, hændelsesrapportering, ledelsesansvar og kontrol med leverandørkæden. Bliver persondata kompromitteret, skal bruddet desuden anmeldes til Datatilsynet inden 72 timer efter GDPR artikel 33.
| Kilde: | RTÉ, Reuters, CERT-EU, Patchstack, Sansec, Security Affairs, watchTowr, ICARE SECURITY A/S, Advokat og Revisor Samvirket, Legiscope, Jesper Christiansen, Agil Udvikling A/S, AGILUDVIKLING.DK |
| Kildelinks: | https://www.rte.ie/news/world/2026/1021/1596231-eu-cybersecurity/, https://sansec.io/research/php2shell, https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/, https://securityaffairs.com/201403/security/php-prepares-emergency-fixes-for-two-critical-remote-code-execution-flaws.html, https://icare.dk/php-advarsel/, https://metropolinternational.com/angreb-er-i-gang-kritiske-huller-i-php-ledelsen-kan-staa-med-ansvaret-hvis-virksomhedens-hjemmeside-ikke-opdateres/, https://www.legiscope.com/blog/nis2-danmark-gennemfoerelse.html |
| Fotokredit: | PHP producenten |
| Personer/Firmaer/Emner/#: | #PHP, #php2shell, #CVE2026109618, #CVE2026109619, #CERTEU, #watchTowr, #Patchstack, #Cloudflare, #Sansec, #PHPFoundation, #WordPress, #WooCommerce, #Magento, #Drupal, #Joomla, #Laravel, #RCE, #Sårbarhed, #Webudvikling, #Hosting, #Serversikkerhed, #ITsikkerhed, #Cybersikkerhed, #NIS2, #GDPR, #JesperChristiansen, #AgilUdvikling, #ICARESECURITY, #AORS |
| Copyrights: | Ⓒ 2026 Copyright by https://AGILUDVIKLING.DK/ kan deles ved aktivt link til denne artikel. |