Kritiske PHP-sårbarheder (PHP2Shell): Er din server opdateret?

Internettet står over for en af de mest alvorlige sikkerhedstrusler i nyere tid. De to nyligt offentliggjorte PHP-sårbarheder, døbt PHP2Shell (registreret under CVE-2026-109618 og CVE-2026-109619), har sendt chokbølger gennem IT- og webverdenen.

Da PHP driver over ~70-75% af alle websites på verdensplan – herunder populære systemer som WordPress, WooCommerce, Magento, Laravel, Drupal og Symfony – er millioner af webshops, SaaS-platforme og firmahjemmesider i akut farezonen, hvis de ikke opdateres øjeblikkeligt.

Begge sårbarheder har fået den ekstremt høje CVSS-score 9,2 og giver uautoriserede hackere mulighed for at udføre Remote Code Execution (RCE). Det betyder i praksis, at en angriber kan overtager kontrollen med din webserver over internettet uden overhovedet at skulle logge ind.

Hos Dominant følger vi situationen tæt. I denne guide gennemgår vi præcis, hvad PHP2Shell-sårbarhederne går ud på, hvilke PHP-versioner der er ramt, og hvilke konkrete trin du skal tage lige nu for at beskytte din virksomhed.

Hvad er PHP2Shell? (CVE-2026-109618 & CVE-2026-109619)

PHP2Shell er fællesbetegnelsen for to fundamentale sikkerhedshuller i PHP-kernen, som gør det muligt at omgå serverens sikkerhedsmekanismer:

1. CVE-2026-109618 (Out-of-Memory Memory Corruption):
   Sårbarheden opstår, når PHP rammer sin konfigurerede memory_limit under afvikling af en request (f.eks. ved upload af en fil). PHP afbryder processen brat, hvilket efterlader intern hukommelse delvist initialiseret. Når PHP oprydder hukommelsen, kan en angriber udnytte dette til at eksekvere skadelig kode.

2. CVE-2026-109619 (Stale Global State):
   Denne fejl opstår ved genbrug af arbejdsprocesser (workers) i webserver-miljøer som PHP-FPM. En intern tilstand fra en tidligere fejlet request kan overleve i hukommelsen og genbruges af en ny request, før normal initialisering sker. Dette giver hackere mulighed for at overskrive serverdata og afvikle kode.

Hvorfor er det så farligt?
Angrebet kræver ingen login-oplysninger eller særlige rettigheder. En enkelt specialdesignet request sendt til dit websted er nok til at udløse sårbarheden før din applikationskode overhovedet begynder at køre.

Hvilke PHP-versioner og systemer er berørt?

Sårbarheden påvirker reelt alle PHP-installationer, der betjener web-requests. Dette gælder uanset om du kører PHP via PHP-FPM, Apache (mod_php), php-cgi, LiteSpeed eller FrankenPHP.

Berørte PHP-versioner:

• PHP 8.5 (versioner før 8.5.12)

• PHP 8.4 (versioner før 8.4.27)

• PHP 8.3 (versioner før 8.3.36)

• PHP 8.2 (versioner før 8.2.35)

• PHP 8.1 og ældre (End-of-Life): Disse versioner modtager ikke officielle sikkerhedsopdateringer fra PHP-projektet.

Hvis dit websted kører på et PHP-baseret CMS eller framework, er du i risikozonen:

• WordPress & WooCommerce

• Magento / Adobe Commerce

• Laravel & Symfony

• Drupal, Joomla & Typo3

Tjekliste: Sådan sikrer du dit websted og din server nu

PHP-teamet har været helt klare i deres udmeldinger: Der findes ingen fuldstændige midlertidige omgåelser (mitigations). Den eneste reelle beskyttelse er at opdatere PHP.

Følg denne trinvise tjekliste for at lukke sikkerhedshullet:

Trin 1: Identificer din aktive PHP-version

Det er vigtigt at tjekke den PHP-version, som webserveren faktuelt afvikler (ikke kun CLI-versionen).

• WordPress-brugere: Gå til Værktøjer → Webstedstilstand (Site Health) → Info → Server for at se din aktive PHP-version.

• Serveradministratorer: Kør php -v på serveren eller tjek din webservers PHP-FPM status.

Trin 2: Opdater til de rettede PHP-udgaver

Opdater øjeblikkeligt din PHP-installation til en af følgende sikre patch-versioner:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Bemærk: Hvis du benytter managed hosting eller cloud-udbydere, skal du straks kontakte dem eller tjekke deres kontrolpanel for at verificere, at de har udrullet de nye sikkerhedspatches.

Trin 3: Genstart PHP og webserveren!

At installere opdateringen er kun det halve arbejde. PHP-processer (som PHP-FPM eller Apache) beholder ofte den gamle sårbre kode i RAM, indtil servicen genstartes.

• Genstart PHP-FPM (systemctl restart php8.3-fpm eller tilsvarende).

• Genstart din webserver (systemctl restart nginx eller systemctl restart apache2).

Trin 4: Hvad gør du ved forældede PHP-versioner (PHP 7.4 / 8.0 / 8.1)?

Kører dit site på en forældet PHP-version, får du ikke en automatisk opdatering fra PHP.net. Du bør:

1. Øjeblikkeligt opgradere til en understøttet PHP-gren (PHP 8.2 eller nyere).

2. Hvis en hurtig opgradering ikke er muligt pga. ældre kode, skal du undersøge om din Linux-distributør (f.eks. RedHat, Ubuntu LTS) tilbyder en backported patch.

3. Er dette heller ikke muligt, bør du stærkt overveje midlertidigt at begrænse adgangen til applikationen (f.eks. via IP-whitelisting eller HTTP Basic Auth) for at undgå automatisk udnyttelse.

Tegn på kompromittering: Er dit site allerede ramt?

Automatiserede exploit-scripts begynder hurtigt at scanne internettet efter u-patched PHP-installationer. Det er derfor afgørende at undersøge, om nogen har udnyttet hullet på din server.

Hold øje med følgende advarselstegn:

• Ufrivillige processer: Kører PHP- eller webserver-brugeren kommandoer som sh, bash, curl, wget eller uidentificerede baggrundsprocesser?

• Nye eller ændrede .php filer: Fremmede PHP-filer placeret i /wp-content/uploads/ eller midlertidige mapper.

• Kritiske fejl i logfilerne: Hyppige Allowed memory size exhausted fejl koblet til Unknown on line 0 eller usædvanlige segmentation faults i dine PHP-fejllogs.

• Pludselige CPU-spidser: Serverens ressourceforbrug stiger drastisk uden en tilsvarende stigning i legitim brugertrafik.

Hvis du opdager tegn på indbrud, er det ikke nok kun at patche PHP. En hacker kan have installeret bagdøre (web shells). Skift alle adgangskoder (database, admin, SSH/FTP), gennemgang adgangslogfilerne, og gendan websitet fra en ren backup.

Sammenfatning og hjælp fra Dominant

Sikkerhedssårbarheder som PHP2Shell understreger vigtigheden af kontinuerlig overvågning, proaktiv vedligeholdelse og en gennemtænkt IT-infrastruktur. En forsinkelse på blot få timer med at patche en RCE-sårbarhed kan resultere i nedbrud, datalæk og tab af tillid hos dine kunder.

Hos Dominant hjælper vi virksomheder med teknisk SEO, weboptimering og sikker drift. Vi sikrer, at dit digitale fundament er stærkt, hurtigt og beskyttet mod udefrakommende trusler.

Brug for hjælp til sikkerhedstjek, PHP-opdateringer eller teknisk optimering af dit website?

Kontakt eksperterne hos Dominant i dag for en uforpligtende gennemgang af din løsning.

Kilder:
– https://www.php.net/archive/2026.php
– https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html
– https://cert.europa.eu/publications/security-advisories/2026-018

– Virus Total scan af videolink: https://www.virustotal.com/gui/url/6fffdf3ec16404872d009495a9f8acaf420446e472d0ee5ae3ac73f6e92201ab
– Exploit-video: https://media.infosec.exchange/infosec.exchange/cache/media_attachments/files/117/475/759/330/067/147/original/4e800fe72bfa6523.mp4