Kritiska säkerhetshål i PHP – uppdatera omedelbart

Kritiska säkerhetshål i PHP har upptäckts och kan i värsta fall göra det möjligt för en angripare att köra skadlig kod på en webbserver utan att först logga in. PHP-projektet uppmanar användare att uppdatera omedelbart.

De två sårbarheterna har beteckningarna CVE-2026-109618 och CVE-2026-109619. Båda har klassats som kritiska och fått CVSS-värdet 9,2.

PHP publicerade säkerhetsuppdateringarna den 21 oktober 2026 och beskriver uppdatering som den enda fullständiga lösningen på problemen.

Kort sammanfattning:
Två kritiska PHP-sårbarheter
CVE-2026-109618 och CVE-2026-109619
CVSS: 9,2 av 10
Risk: oautentiserad fjärrkörning av kod
Åtgärd: uppdatera PHP

Vad har hänt?

PHP-projektet har upptäckt två allvarliga fel i hur PHP hanterar intern information och minne under webbförfrågningar.

Det ena säkerhetshålet, CVE-2026-109618, kan uppstå i samband med att PHP får slut på tillgängligt minne. Intern data kan då hamna i ett felaktigt tillstånd som senare behandlas som giltigt.

Det andra, CVE-2026-109619, handlar om intern information som kan finnas kvar efter att minnet bakom informationen redan har frigjorts.

I båda fallen kan en angripare i värsta fall lyckas köra egen kod på servern.

Det allvarliga är att angreppet kan ske utan att angriparen först behöver logga in.

Vilka PHP-installationer kan påverkas?

PHP uppger att alla installationer som hanterar webbförfrågningar kan vara berörda.

Det omfattar bland annat:

• PHP-FPM
• Apache med mod_php
• php-cgi
• FrankenPHP
• LiteSpeed

PHP bedömer risken som särskilt hög för mod_php, där ett angrepp kan triggas innan vanlig applikationskod hinner köras.

Det betyder att problemet inte bara handlar om en viss webbapplikation eller ett specifikt tillägg.

Sårbarheten finns i själva PHP-miljön som webbplatsen använder.

Vilka PHP-versioner innehåller rättningarna?

PHP-projektet har släppt följande säkerhetsversioner:

Versioner med rättning:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

PHP 8.1 och äldre får inte längre vanliga säkerhetsuppdateringar från PHP-projektet.

Vissa Linuxdistributioner och leverantörer med långtidsstöd kan däremot lägga in säkerhetsrättningar i äldre paket.

Därför bör du kontrollera både versionsnumret och säkerhetsinformationen från den leverantör eller Linuxdistribution som du använder.

1. Kontrollera vilken PHP-version du använder

Det första steget är att ta reda på vilken PHP-version servern eller webbplatsen använder.

Har du tillgång till terminalen kan du börja med:

php -v

Det visar PHP-versionen för kommandoraden.

På en webbserver kan PHP-FPM eller webbservern däremot använda en annan version.

Vi går igenom flera sätt att kontrollera detta i Kontrollera PHP-version – 5 enkla sätt att hitta rätt version.

2. Uppdatera PHP i Linux

Driver du en egen Linuxserver bör du kontrollera vilka säkerhetsuppdateringar som finns från distributionen.

På Ubuntu och Debian används normalt APT, medan Fedora använder DNF.

Vi går igenom hela processen i Uppdatera PHP i Linux – 5 viktiga steg efter säkerhetshålen.

3. Har du vanligt webbhotell?

Om webbplatsen ligger på ett vanligt webbhotell behöver du normalt inte själv installera PHP-paketen.

Webbhotellet ansvarar vanligtvis för själva servermiljön.

Du bör ändå kontrollera vilken PHP-version webbplatsen använder och om webbhotellet har publicerat information om säkerhetsproblemen.

Läs PHP på webbhotell – 5 viktiga kontroller efter säkerhetshålen.

4. Använder du WordPress?

En fullt uppdaterad WordPress-installation betyder inte automatiskt att PHP-miljön är säker.

WordPress, teman och tillägg ligger ovanpå PHP och måste därför ses som separata lager.

Vi går igenom detta i PHP i WordPress – 6 viktiga säkerhetskontroller efter PHP-hålen.

5. Kontrollera servern efter tecken på intrång

CERT-SE rekommenderar att berörda system inte bara uppdateras utan även undersöks efter tecken på intrång.

En säkerhetsuppdatering stänger sårbarheten framåt men visar inte om någon redan hunnit utnyttja problemet tidigare.

Det kan därför vara klokt att kontrollera loggar, inloggningar, användarkonton, processer, nyligen ändrade filer och oväntade tjänster.

Det går vi igenom i Kontrollera Linuxserver efter intrång – 6 saker att granska.

Vad säger CERT-SE?

CERT-SE rekommenderar att organisationer identifierar PHP-baserade applikationer, följer leverantörernas rekommendationer och uppdaterar systemen skyndsamt.

De rekommenderar också att systemen undersöks efter tecken på intrång.

Om det inte är möjligt att installera säkerhetsuppdateringarna rekommenderar CERT-SE att internetexponerade PHP-applikationer isoleras från publika nätverk.

Ingen fullständig tillfällig lösning

PHP är tydliga med att det inte finns någon fullständig tillfällig lösning som ersätter en uppdatering.

Det är alltså inte en situation där en enkel konfigurationsändring eller tillfällig regel ger samma skydd som den riktiga säkerhetsrättningen.

Den säkra lösningen är att installera en uppdaterad PHP-version eller ett leverantörspaket som innehåller motsvarande rättning.

Officiell information

PHP har publicerat information om de aktuella säkerhetsuppdateringarna på PHP:s officiella webbplats.

Svenska CERT-SE har publicerat en varning om de kritiska PHP-sårbarheterna.

Kort sagt

De kritiska säkerhetshålen i PHP är allvarliga eftersom de kan möjliggöra fjärrkörning av kod utan autentisering.

Om du administrerar en egen server bör du kontrollera PHP-versionen, installera tillgängliga säkerhetsuppdateringar och undersöka systemet efter avvikande aktivitet.

Har du webbhotell eller WordPress bör du kontrollera vilken PHP-version webbplatsen använder och säkerställa att leverantören har installerat rättningen.

PHP:s besked är tydligt: uppdatering är den säkra vägen framåt.