PHP2Shell: Må nettstedet ditt oppdateres nå?

Hva har skjedd?

21. oktober 2026 slapp PHP-prosjektet nye versjoner som retter to sårbarheter, kjent som PHP2Shell: CVE-2026-109618 og CVE-2026-109619. Begge er vurdert som kritiske, med 9,2 i CVSS v4.0. En angriper kan kjøre egen kode på serveren uten å være innlogget.

Ifølge Help Net Security er sårbarhetene allerede utnyttet. Amazons honningfelle MadPot registrerte angrepsforsøk 17. oktober, fire dager før sårbarhetene ble kjent.

Det rammer PHP-installasjoner som svarer på nettforespørsler, blant annet PHP-FPM, Apache mod_php, php-cgi, FrankenPHP og LiteSpeed.

Hvilke versjoner må oppdateres?

PHP 8.1 og eldre får ikke lenger vanlige oppdateringer fra PHP-prosjektet. Help Net Security nevner at det finnes tilbakeførte rettelser (backports) for 7.4 og 8.0. Spør leverandøren din, eller oppgrader til en versjon som fortsatt får oppdateringer. PHP 8.2 får sikkerhetsoppdateringer bare til 31. desember 2026.

Slik sjekker du nettstedet ditt

1. Bruker du PHP? WordPress, WooCommerce, Joomla og Drupal kjører på PHP. Er du usikker, spør den som har laget eller drifter nettstedet.
2. Finn PHP-versjonen. I WordPress ser du den under Verktøy → Nettstedshelse → Info. Har du tilgang til serveren, kan du kjøre:
   php -v
   Merk at nettserveren kan bruke en annen PHP-versjon enn kommandolinjen.
3. Har du delt webhotell? Da er det leverandøren som oppdaterer PHP. Kontakt dem og spør om de har installert versjonene over.
4. Drifter du serveren selv? Installer de nye versjonene, eller oppdaterte pakker fra Linux-distribusjonen din, og start PHP-FPM eller webserveren på nytt.

Holder det med brannmur?

Nei. Cloudflare har lagt ut regler i brannmuren (WAF) mot PHP2Shell, også for gratiskunder. Cloudflare skriver likevel at kundene må oppdatere PHP. Feilen ligger i selve PHP, så det hjelper ikke å oppdatere bare WordPress eller utvidelsene. PHP-prosjektet skriver at oppdatering er den eneste trygge løsningen.

Klarer du ikke å oppdatere med en gang, anbefaler Help Net Security å vurdere å ta nettstedet ned til det er oppdatert.