PHP2Shell: Vad företag nu behöver veta om den kritiska PHP-sårbarheten

PHP2Shell är namnet på två kritiska säkerhetsbrister i programmeringsspråket PHP (CVE-2026-109618 och CVE-2026-109619), som publicerades den 21 oktober 2026. Genom dem kan angripare köra skadlig kod på webbservrar utan inloggning och utan någon användarinteraktion. BSI bedömer läget som varningsnivå 3/Orange: åtgärder måste vidtas omedelbart. Det enda effektiva skyddet är att uppdatera till en patchad PHP-version.

PHP ligger bakom en stor del av internet: bakom WordPress, TYPO3, Joomla, Drupal, Shopware och Magento, men också bakom webbgränssnitt för brandväggar, routrar och nätverkslagring. Därför berör PHP2Shell inte bara IT-avdelningar, utan nästan varje företag med egen webbplats. Den här artikeln sammanfattar vad som har hänt och vad du bör göra nu. Status: 24 oktober 2026.

Vad har hänt?

Den 20 oktober tillkännagav PHP-utvecklarna med kort varsel en kritisk säkerhetsuppdatering efter att detaljer hade blivit kända i förväg. Den 21 oktober följde patcharna och de tekniska beskrivningarna. Enligt Amazon Threat Intelligence fanns det redan den 17 oktober ett angreppsförsök, alltså före publiceringen. Sårbarheterna upptäcktes bland annat av säkerhetsföretaget Calif inom ramen för ett projekt med OpenAI samt oberoende av detta av Wiz – i båda fallen med stöd av AI-modeller.

De viktigaste fakta

Vem berörs?

• Webbplatser och butiker baserade på PHP, till exempel WordPress, TYPO3, Joomla, Drupal eller Shopware – oavsett om CMS:et i sig är aktuellt. Det avgörande är PHP-versionen på servern.
• Hostade webbplatser: Vid delad hosting och hanterade servrar ansvarar oftast webbhotellet för PHP-uppdateringen. Fråga efter det.
• Egna servrar och containrar: Den som driver själv måste uppdatera PHP och bygga om Docker-avbildningar.
• Enheter med webbgränssnitt: Enligt BSI är bland annat produkter från F5, Citrix NetScaler, Palo Alto, OPNsense, pfSense, QNAP, Synology och cPanel åtminstone delvis drabbade. Här hjälper endast tillverkarens firmwareuppdateringar.

Vad du bör göra nu

1. Inventering: Vilka webbplatser, butiker, servrar och enheter med webbgränssnitt driver ni? Även PHP som en del av annan programvara räknas.
2. Kontrollera PHP-versionen och uppdatera till en patchad version. Hur det går till visar Är min webbplats berörd?.
3. Fråga hostingleverantörer och tjänsteleverantörer, om uppdateringarna har installerats – skriftligt, med versionsnummer.
4. Uppdatera enheternas firmware,så snart tillverkarna tillhandahåller uppdateringar.
5. Om ingen uppdatering är möjlig: BSI rekommenderar att överväga en tillfällig frånkoppling från internet, eftersom workarounds inte ger ett fullständigt skydd.
6. Kontrollera spår av en attack, till exempel nya PHP-filer eller ovanliga processer. Detaljer i Webbplats hackad?.

Varför det går så snabbt den här gången

BSI påpekar att angripare med AI-stödda verktyg i dag kan analysera patchar på kort tid och utveckla angrepp utifrån dem. Myndigheten bedömde att en bred exploatering inom några timmar efter att patcharna släppts var sannolik. Tiden mellan publicering och angrepp krymper alltså. Uppdateringar ”någon gång under de närmaste veckorna” räcker inte längre.

En webbapplikationsbrandvägg räcker inte

Leverantörer som Cloudflare har publicerat regler mot kända angreppsvägar. En webbapplikationsbrandvägg (WAF) kan försvåra angrepp, men ersätter enligt BSI och den amerikanska myndigheten CISA inte en uppdatering. Fullständigt skydd ger endast patchning eller att koppla bort systemet från internet.

Osäker på om er webbplats, er webbutik eller era enheter är drabbade? Kontakta oss. Vi granskar era system, installerar uppdateringar och säger ärligt vad som behöver göras – även om det visar sig att allt är i ordning. Till att börja med räcker det med ett kort samtal.

Vanliga frågor

Vad är PHP2Shell?

PHP2Shell är beteckningen för två kritiska säkerhetsbrister i PHP (CVE-2026-109618 och CVE-2026-109619). De gör det möjligt för angripare att köra skadlig kod på webbservrar med PHP utan inloggning. Namnet anspelar på den välkända sårbarheten Log4Shell.

Vilka PHP-versioner är säkra?

Patchade versioner är PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. För de versioner som inte längre stöds, 7.4, 8.0 och 8.1, finns backport-patchar; Linux-distributioner levererar delvis egna, tillbaka-portade uppdateringar.

Är min WordPress-webbplats drabbad?

Om den körs på en server med opatchad PHP, ja. En WordPress-uppdatering räcker inte, eftersom sårbarheten finns i själva PHP. Det avgörande är om din webbhotellleverantör har uppdaterat PHP.

Räcker det om min webbhotellleverantör tar hand om det?

Vid shared hosting är det oftast hostern som ansvarar. Låt dig ändå få bekräftat att uppdateringarna har installerats, och kontrollera dessutom om ni driver egna servrar eller enheter med webbgränssnitt.

Status: 24 oktober 2026. Källor: BSI-säkerhetsmeddelande om PHP2Shell, CISA.