PHP2Shell: to kritiske sårbarheder i PHP – opdatér nu
Udgivet 21.10.2026 · Alvorlighedsgrad : Kritisk · Opdateret 27.10.2026
Hvad sker der: 21. oktober 2026 rettede PHP to kritiske sårbarheder, CVE-2026-109618 og CVE-2026-109619, kaldet »PHP2Shell«. Begge kan give mulighed for fjernkørsel af kode på serveren uden login. Den første vedrører håndtering af mangel på hukommelse, den andre interne data, som en senere forespørgsel kan bruge, efter at hukommelsen er frigjort.
Hvor alvorligt: kritisk. Eksempler på angrebskode er offentlige, og CERT-FR har observeret angrebsforsøg (27. oktober 2026). Begge sårbarheder står på den amerikanske CISA-liste over sårbarheder, der aktivt udnyttes.
Hvem er berørt: alle websteder, der kører på PHP – blandt andet WordPress, Joomla, Drupal og mange netbutikker – med PHP 5.x, 7.x, 8.0, 8.1 eller 8.2 før 8.2.35, 8.3 før 8.3.36, 8.4 før 8.4.27 og 8.5 før 8.5.12. PHP 5, 7, 8.0 og 8.1 får ikke længere rettelser.
Hvad du bør gøre: opdatér til PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller nyere. Spørg din leverandør, hvilken version dit websted bruger. Kører det på en version, der ikke længere får rettelser, skal det flyttes til en vedligeholdt version. Der findes midlertidige foranstaltninger, men ifølge PHP gør de ikke en installation sikker; kun opdateringen gør det.
Se også CVE-2026-115560, en ny sårbarhed i samme område, som endnu ikke er rettet. Er du usikker på dit website? Skriv til os, så fortæller vi dig, hvad der bør gøres.