För några dagar sedan skrev vi om de två kritiska säkerhetshålen i PHP, CVE-2026-109618 och CVE-2026-109619, som numera kallas PHP2Shell. Nu har läget skärpts: enligt BleepingComputer har sårbarheterna för första gången bekräftats utnyttjade med lyckad fjärrkörning av kod i det vilda. Har ni inte uppdaterat ännu är det hög tid.
Bekräftad attack i det vilda
Adel Karimi, detection and response lead på Perplexity, fångade attacken i sina honeypots. Målet var en Apache mod_php-installation med PHP 8.4.26, alltså en version från före patchen. Enligt Karimi visar spåren att angriparen först läste ut minne från servern och sedan använde det för att köra kod, med hjälp av offset-värden från en publik exploit. Marcus Hutchins på Expel kallar det den hittills bästa bekräftelsen av PHP2Shell-attacker i det vilda.
Karimi påpekar samtidigt att det gäller en avsiktligt gynnsam miljö med en enda mod_php-worker, och att det inte säger något om hur pålitlig exploiten är mot andra konfigurationer. Tidigare har flera säkerhetsföretag rapporterat skanning och misslyckade försök. Sophos rapporterade först en lyckad attack men drog tillbaka den bedömningen efter vidare analys. Det finns flera publika proof-of-concept-exploit, och både de och den bekräftade attacken riktar sig mot mod_php via funktionen session upload progress. Enligt Datadog är den påslagen som standard och körs även om applikationen aldrig startar en session.
Ny sårbarhet: CVE-2026-115560
Den 23 oktober publicerade PHP-teamet ett informationsmeddelande om ytterligare en sårbarhet i session upload progress, CVE-2026-115560, som kan ge fjärrkörning av kod. Den kan bara uppstå i en ovanlig kombination: applikationen sätter session.serialize_handler till php_binary eller php_serialize i konfigurationen, byter sedan till php med ini_set() innan session_start() anropas, och session upload progress är påslaget. PHP-teamet bedömer att det är osannolikt i praktiken och åtgärdar det i nästa ordinarie release. Till dess rekommenderar de att sätta session.upload_progress.enabled=0.
Äldre PHP-versioner och Ubuntu 20.04
Många servrar kör PHP från Ondřej Surýs paketförråd (ppa:ondrej/php och deb.sury.org). Ondřej meddelade att förrådet skulle få paket med fixen, inklusive backporter för PHP-versioner som inte längre stöds. Paketlistan på Launchpad visar patchade byggen av bland annat PHP 8.1, 8.0 och 7.4 för Ubuntu 22.04 och 24.04, men inga för Ubuntu 20.04. Ubuntus egen fix för PHP 7.4 på 20.04 kräver Ubuntu Pro. Kör ni fortfarande Ubuntu 20.04 är det därför dags att uppgradera operativsystemet eller flytta sajten till en nyare server.
Vad ska du göra?
Uppdatera PHP till 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, eller till ett patchat paket från er distribution, och starta om alla PHP-workers.
Stäng av session upload progress med session.upload_progress.enabled=0 i php.ini eller serverkonfigurationen, även efter uppdateringen, tills CVE-2026-115560 har åtgärdats. Det ersätter inte uppdateringen, men stänger den attackväg som de publika exploiten använder.
Kontrollera versionen med php -v och i webbserverns phpinfo(), eftersom de kan skilja sig åt.
Planera bort gamla miljöer, som Ubuntu 20.04 och PHP 8.1 eller äldre.
Så kan vi hjälpa till
Vi hjälper gärna till att kontrollera era servrar, uppdatera PHP och flytta sajter från äldre operativsystem till en uppdaterad miljö, oavsett om det gäller Magento, Laravel eller Statamic. Hör av er så tittar vi på det.
Har du din butik eller applikation i vår hosting ser vi till att systemet hålls uppdaterat.
Källor
BleepingComputer: PHP2Shell security flaws now successfully exploited in the wild
PHP.net: Security advisory: Critical remote code execution vulnerabilities, update now
Sophos: Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619)
Datadog Security Labs: PHP2Shell, critical vulnerabilities in PHP
Codeberg: deb.sury.org, Upcoming Critical PHP Security Release (#145)