Foto: AI-genererad illustration
Två kritiska sårbarheter i programmeringsspråket php kan drabba miljontals webbplatser världen över. Säkerhetspolisen och Nationellt cybersäkerhetscenter, en del av FRA, är informerade, rapporterar Aftonbladet.
– Cybersäkerhet i vår tid är ett område där det händer ganska många allvarliga saker ganska ofta. Den här hör till de mer allvarliga, säger John Ahlmark, kommunikatör på FRA.
Vad innebär sårbarheterna i php?
Sårbarheterna, CVE-2026-109618 och CVE-2026-109619, gör det möjligt att köra skadlig kod på en server utan inloggning. De har fått 9,2 på den tiogradiga CVSS-skalan, enligt CERT-SE och php.net.
Php används på en majoritet av världens webbplatser. Bland de system som kan vara sårbara finns WordPress, Magento, Joomla och Drupal. Även Mediawiki, som används av bland andra Wikipedia, påverkas.
Hur många sajter som drabbas är oklart. Experter som Aftonbladet talat med uppskattar antalet till tiotals, kanske hundratals, miljoner.
– Den här bristen är så kritisk att någon kan köra kommando på en server utan att ha användarnamn eller lösen eller någonting annat, säger it-säkerhetsexperten David Jacoby.
Cybersäkerhetsföretaget Huntress skriver i ett blogginlägg att php "finns överallt" och i tysthet driver bland annat WordPress, Drupal, Joomla och Magento, delade värdplattformar och kontrollpaneler.
Hur ska verksamheter agera?
Php.net har släppt säkerhetsuppdateringar, och användare uppmanas att uppdatera omedelbart. Uppdateringen släpptes klockan 16 svensk tid och gäller versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Risken bedöms som störst för Apache med mod_php.
CERT-SE rekommenderar organisationer att identifiera php-baserade applikationer, följa leverantörens rekommendationer och undersöka systemen efter tecken på intrång. Går det inte att uppdatera bör internetexponerade applikationer isoleras från publika nätverk.
Nationellt cybersäkerhetscenter uppmanar enligt TT verksamheter att uppdatera omgående eller koppla bort systemen från internet.
– Det är verksamheterna själva som beslutar hur de ska göra, beroende vad de vet om sina egna nätverk, säger Ahlmark.
Säkerhetspolisen skriver i ett mejl till Aftonbladet att den känner till uppgifterna och uppmanar myndigheter och verksamhetsutövare att ta del av CERT-SE:s information. Flera länder, däribland Finland, Danmark och Nederländerna, har enligt TT stängt ned flera av sina myndigheters sajter.
Varför oroar experter sig för tiden efter uppdateringen?
Uppdateringen avslöjar var i koden sårbarheten finns, vilket cyberkriminella snabbt kan utnyttja. Det menar it-säkerhetsexperten Karl Emil Nikka.
– Det är omöjligt att släppa en säkerhetsuppdatering utan att avslöja sårbarheten som har funnits där. Nu är katten ur buren, säger Nikka.
Han räknar med att det tar månader innan alla servrar är uppdaterade, och att angripare har tid på sig tills dess. Jacoby varnar för att AI kan göra det enklare för cyberkriminella att snabbt ta fram verktyg för att utnyttja sårbarheten.
– Det här är ett exceptionellt tillstånd som vi är i, säger Nikka.
