CVE-2026-115560: ny sårbarhed i PHP, stadig uden rettelse
Udgivet 23.10.2026 · Alvorlighedsgrad : Middel · Opdateret 27.10.2026
Hvad sker der: Den 23. oktober 2026 varslede PHP en ny sårbarhed, CVE-2026-115560, som kan give fjernkørsel af kode på serveren. Den kom to dage efter rettelserne til PHP2Shell, og de opdaterede versioner fra den 21. oktober stopper den ikke.
Hvor alvorlig er den: Ifølge PHP kræver et angreb en usædvanlig kombination af indstillinger og programkode: Websiteet skal skifte formatet på sessionsdata, mens det kører, og funktionen til uploadstatus skal være slået til. Ingen angreb er blevet rapporteret indtil nu (CERT-FR, 27. oktober 2026). PHP retter fejlen i den næste almindelige udgivelse.
Hvem er berørt: Websites, der kører på PHP – blandt andet WordPress, Joomla, Drupal og mange netbutikker – hvor funktionen til uploadstatus (session.upload_progress) er slået til. Den er slået til som standard.
Hvad du bør gøre: PHP anbefaler at indstille session.upload_progress.enabled=0, indtil rettelsen kommer, i php.ini eller i serverkonfigurationen og derefter genstarte PHP-processerne. Indstillingen bruges kun til at vise status under upload af filer, og de fleste websites vil ikke opleve nogen forskel. Installer den næste PHP-udgivelse, så snart den kommer.
Er du usikker på, om din hjemmeside er påvirket? Skriv til os, så fortæller vi dig, hvad der bør gøres.