Två kritiska säkerhetshål i php hotar miljontals sajter

Säkerhetsforskare har upptäckt två kritiska sårbarheter i programmeringsspråket php, som används på en stor andel av världens webbplatser. En säkerhetsuppdatering släpptes onsdagen den 21 oktober klockan 16.00 svensk tid, och Nationellt cybersäkerhetscenter uppmanar verksamheter att uppdatera omgående.

Hur allvarliga är sårbarheterna?

Sårbarheterna har graderats 9,2 av 10 på CVSS 4.0-skalan, uppger php på sin hemsida. De gör det möjligt för en angripare att köra skadlig kod på en server utan att logga in, så kallad oautentiserad fjärrkörning av kod.

Sårbarheterna går under beteckningarna CVE-2026-109618 och CVE-2026-109619. Enligt php riskerar alla installationer som hanterar webbförfrågningar att drabbas. Risken är störst för Apache med mod_php, där ett exploateringsexempel har visats.

– Den här bristen är så kritisk att någon kan köra kommandon på en server utan att ha användarnamn eller lösen eller någonting annat, säger it-säkerhetsexperten David Jacoby till Aftonbladet.

Vilka system påverkas?

Php driver bland andra WordPress, Magento, Joomla och Drupal. Även Mediawiki, som bland annat används av Wikipedia, påverkas, enligt Aftonbladet. Hur många sajter som är drabbade är oklart, men experter som tidningen talat med uppskattar antalet till tiotals, kanske hundratals, miljoner.

Cybersäkerhetsföretaget Huntress skriver i ett blogginlägg att php "finns överallt" och i det tysta driver många webbplatser, enligt Reuters. Den som vill skydda sig bör uppdatera till php 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, enligt php.net och CERT-SE.

Har attackerna redan börjat?

Dane Knecht, teknikchef på Cloudflare, skriver på X att företaget ser de första tecknen på attacker. Cloudflares skyddsåtgärder är enligt honom enbart en tillfällig lösning.

Säkerhetsuppdateringen medför ett nytt problem. Den avslöjar var sårbarheten finns i koden, vilket cyberkriminella snabbt kan utnyttja.

– Nu är katten ur buren, säger it-säkerhetsexperten Karl Emil Nikka till Aftonbladet.

Nikka räknar med att det dröjer månader innan alla servrar är uppdaterade. Jacoby varnar för att AI kan göra det enklare för cyberkriminella att snabbt ta fram verktyg som utnyttjar sårbarheten.

Så reagerar myndigheter

Nationellt cybersäkerhetscenter uppmanar alla verksamheter att uppdatera sina system omgående, eller koppla bort dem från internet. EU:s cybersäkerhetsorganisation CERT-EU varnade på tisdagen och rekommenderade att berörda webbplatser tas offline om uppdatering inte är möjlig, rapporterar Reuters.

CERT-SE rekommenderar organisationer att identifiera php-baserade applikationer, följa leverantörens rekommendationer och undersöka sina system efter tecken på intrång. Säkerhetspolisen uppmanar myndigheter och verksamhetsutövare att ta del av CERT-SE:s information.

Flera länder, däribland Finland och Nederländerna, har stängt ett antal av sina myndigheters sajter under eftermiddagen, enligt Reuters och Bloomberg.