PHP2Shell: to kritiske sårbarheter i PHP – oppdater nå
Publisert 21.10.2026 · Alvorlighetsgrad : Kritisk · Oppdatert 27.10.2026
Hva skjer: 21. oktober 2026 rettet PHP to kritiske sårbarheter, CVE-2026-109618 og CVE-2026-109619, kalt «PHP2Shell». Begge kan gi fjernkjøring av kode på serveren uten innlogging. Den første gjelder håndteringen av minnemangel, den andre interne data som en senere forespørsel kan bruke etter at minnet er frigitt.
Hvor alvorlig: kritisk. Eksempler på angrepskode er offentlige, og CERT-FR har observert angrepsforsøk (27. oktober 2026). Begge sårbarhetene står på den amerikanske CISA-listen over sårbarheter som utnyttes aktivt.
Hvem er berørt: alle nettsteder som kjører på PHP – blant annet WordPress, Joomla, Drupal og mange nettbutikker – med PHP 5.x, 7.x, 8.0, 8.1, eller 8.2 før 8.2.35, 8.3 før 8.3.36, 8.4 før 8.4.27 og 8.5 før 8.5.12. PHP 5, 7, 8.0 og 8.1 får ikke lenger rettelser.
Hva du bør gjøre: oppdater til PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller nyere. Spør leverandøren din hvilken versjon nettsiden din bruker. Kjører den på en versjon som ikke lenger får rettelser, må den flyttes til en vedlikeholdt versjon. Midlertidige tiltak finnes, men ifølge PHP gjør de ikke en installasjon trygg; bare oppdateringen gjør det.
Se også CVE-2026-115560, en ny sårbarhet i samme område som ennå ikke er rettet. Er du usikker på nettsiden din? Skriv til oss, så forteller vi deg hva som bør gjøres.