Den 21 oktober släppte PHP-projektet säkerhetsuppdateringar för två sårbarheter som fått namnet PHP2Shell. De har beteckningarna CVE-2026-109618 och CVE-2026-109619 och bedöms som kritiska, med 9,2 av 10 i CVSS v4.0. Felen gör det möjligt att köra kod på webbservern utan att logga in. PHP används bland annat av WordPress och WooCommerce.
Vad som hände
Den 20 oktober läckte detaljer om felen ut före den samordnade publiceringen, och PHP:s säkerhetsteam aviserade en säkerhetsrelease till den 21 oktober. På morgonen den 21 oktober togs flera tjänster offline i väntan på patchen, bland annat de nederländska myndighetstjänsterna DigiD och MijnOverheid.
Samma morgon rapporterade hostingbolag försök att utnyttja felen, och Cloudflare uppgav att de såg tidiga angrepp. Patcharna publicerades 13:52 UTC, strax före fyra på eftermiddagen svensk tid. Den amerikanska cybersäkerhetsmyndigheten CISA uppmanade samma dag till omedelbar patchning. CISA hade då inte observerat något lyckat utnyttjande, och Patchstacks mätdata visade avsökningar men inga belägg för intrång.
Vad felen gör
Båda felen sitter i PHP självt och utlöses när PHP läser in en förfrågan, innan någon kod i webbplatsen körs. Inloggning och säkerhetsplugins i webbplatsen påverkar därför inte risken.
- CVE-2026-109618 gäller hur PHP hanterar att minnet tar slut medan formulärdata läses in.
- CVE-2026-109619 gäller att en PHP-process återanvänder tillstånd från en tidigare förfrågan, bland annat via uppladdningsförloppet i sessioner, som är påslaget som standard.
Enligt Wiz Research påverkas alla PHP-versioner tillbaka till 5.4 av minst ett av felen.
Vilka som berörs
Alla PHP-installationer som tar emot webbförfrågningar berörs, oavsett om PHP körs som Apache-modul (mod_php), via PHP-FPM, php-cgi, FrankenPHP eller LiteSpeed. PHP bedömer mod_php som mest utsatt.
Det gäller också containrar och program med en egen inbyggd PHP-version. PHP-versionen i kommandoraden kan skilja sig från den som kör webbplatsen, så det är versionen på webbservern som är relevant.
Rättade versioner
Felen är rättade i:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.2 får säkerhetsrättningar till den 31 december 2026.
PHP 7.4, 8.0 och 8.1 får inga uppdateringar från PHP-projektet. Flera distributioner har bakåtportat rättningen, och det finns minimala patchar att bygga från källkod, men de är en sista utväg och inte en återupptagen support. Det officiella Docker-imaget för PHP får ingen rättning för 8.1 och äldre. CISA rekommenderar att system som inte kan uppdateras tas offline tills de är patchade.
WordPress och WooCommerce
Felen sitter i PHP, så ingen uppdatering av WordPress, WooCommerce, teman eller plugins behövs. WooCommerce skriver att ingen sådan uppdatering behövs eller planeras.
PHP-versionen syns i WordPress under Tools -> Site Health -> Info -> Server i det engelska gränssnittet, eller i webbhotellets kontrollpanel. Automattics egen hosting (WordPress.com, WordPress VIP, Pressable och WP Cloud) är redan skyddad enligt WooCommerce. Andra webbhotell kan ha uppdaterat eller lagt in brandväggsregler, och kan svara på vilken PHP-version en sajt kör.
Tillfälliga åtgärder
Det finns tillfälliga inställningar, som att stänga av session.upload_progress.enabled. De minskar risken men ersätter inte en uppdatering. Cloudflares brandväggsregler hjälper bara om servern enbart tar emot trafik via Cloudflare. Patchstack avråder från inofficiella "fix"-plugins och kodsnuttar.
En fullständig åtgärd är att uppdatera PHP och starta om alla PHP-processer, så att ingen process med den gamla versionen ligger kvar. Datadog beskriver vad man kan leta efter i loggarna för att se om någon har försökt utnyttja felen.
Veckan innan
PHP2Shell kom en vecka efter en annan kritisk sårbarhet. Den 14 oktober publicerade React en säkerhetsvarning om fjärrkörning av kod i React Server Components, med CVSS 9,5. Den gäller ramverk och bundlers med stöd för Server Components och kräver en ovanlig uppsättning för att kunna utnyttjas. Den är rättad i React 19.0.9, 19.1.10, 19.2.9 och 19.3.1.
Källor
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching
- Datadog Security Labs: PHP2Shell, critical vulnerabilities in PHP
- Patchstack: Major security alert, PHP vulnerable to critical RCE
- WooCommerce Developer Blog: Critical Security Releases for PHP Advisories
- GitHub: Unauthenticated Remote Code Execution in React Server Components (GHSA-xqc2-xf4c-x3h3)