PHP2Shell: två kritiska sårbarheter i PHP – uppdatera nu
Publicerad 21.10.2026 · Allvarlighetsgrad : Kritisk · Uppdaterad 27.10.2026
Vad som händer: Den 21 oktober 2026 åtgärdade PHP två kritiska sårbarheter, CVE-2026-109618 och CVE-2026-109619, kallade ”PHP2Shell”. Båda kan ge fjärrkörning av kod på servern utan inloggning. Den första gäller hanteringen av minnesbrist, den andra intern data som en senare begäran kan använda efter att minnet har frigjorts.
Hur allvarligt det är: kritiskt. Exempel på attackkod är offentliga, och CERT-FR har observerat attackförsök (27 oktober 2026). Båda sårbarheterna finns på den amerikanska CISA-listan över sårbarheter som utnyttjas aktivt.
Vem påverkas: alla webbplatser som kör PHP – bland annat WordPress, Joomla, Drupal och många webbutiker – med PHP 5.x, 7.x, 8.0, 8.1 eller 8.2 före 8.2.35, 8.3 före 8.3.36, 8.4 före 8.4.27 och 8.5 före 8.5.12. PHP 5, 7, 8.0 och 8.1 får inte längre några rättningar.
Vad du bör göra: uppdatera till PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller senare. Fråga din leverantör vilken version din webbplats använder. Om den körs på en version som inte längre får rättningar måste den flyttas till en underhållen version. Tillfälliga åtgärder finns, men enligt PHP gör de inte en installation säker; endast uppdateringen gör det.
Se även CVE-2026-115560, en ny sårbarhet i samma område som ännu inte är åtgärdad. Är du osäker på din webbplats? Skriv till oss, så berättar vi vad som bör göras.