Två nya kritiska sårbarheter i PHP har upptäckts och säkerhetsuppdateringar har nu publicerats. Eftersom PHP används i allt från webbplatser till affärskritiska tjänster, administrationsgränssnitt och IoT-enheter kan många verksamheter vara berörda. Arctic Wolf Labs rapporterar dessutom om aktiva angreppsförsök. Här förklarar vi vad PHP är, vad som har hänt, vilka riskerna är och vad ni bör göra.
Vad är PHP och vad används det till?
PHP är ett av världens mest använda programmeringsspråk för att skapa webbplatser, applikationer och digitala tjänster.
För att förstå vad PHP gör kan vi jämföra det med HTML, som många kanske har hört talas om.
Lite förenklat kan man säga att HTML bygger upp innehållet på en webbsida, medan PHP hjälper till att skapa innehållet och få funktionerna bakom sidan att fungera.
HTML talar exempelvis om var rubriker, texter, bilder och knappar ska visas. PHP arbetar i bakgrunden på servern och kan bland annat hämta information från databaser, hantera inloggningar, bearbeta formulär och skapa innehåll som anpassas efter användaren.
Tänk er exempelvis en webbutik.
HTML hjälper till att presentera produkterna för besökaren, medan PHP kan användas för att hämta produktinformation, visa lagersaldo, hantera varukorgen och behandla beställningar.
Det är alltså inte säkert att ni någonsin ser PHP, men tekniken kan ändå vara en viktig del av de digitala tjänster ni använder varje dag.
PHP kan finnas i fler system än ni tror eller vet om
PHP används bland annat i WordPress, e-handelsplattformar, kundportaler och olika typer av affärssystem och webbaserade applikationer.
Men tekniken finns inte bara bakom traditionella webbplatser.
PHP kan också finnas inbyggt i produkter och system som organisationen kanske inte i första hand förknippar med webbteknik. Det kan exempelvis handla om administrationsgränssnitt för nätverksutrustning, brandväggar, routrar, IoT-enheter och andra uppkopplade produkter.
Även en uppkopplad övervakningskamera kan ha ett webbaserat administrationsgränssnitt som använder PHP för att hantera inställningar och funktioner.
Det innebär att ni kan ha PHP i er IT-miljö utan att själva ha utvecklat någon PHP-baserad applikation, och utan att nödvändigtvis känna till var tekniken används.
Den stora utmaningen är därför inte bara att uppdatera PHP, utan att först veta var tekniken faktiskt används.
Det är också viktigt att komma ihåg att alla system som använder PHP inte automatiskt är sårbara eller möjliga att angripa. Risken beror bland annat på vilken PHP-version som används, hur systemet är konfigurerat och om det kan nås från internet.
Vad har hänt? Vad är PHP2Shell?
Den 21 oktober 2026 publicerades säkerhetsuppdateringar för två kritiska sårbarheter i PHP, CVE-2026-109618 och CVE-2026-109619, gemensamt kallade PHP2Shell.
Sårbarheterna har fått allvarlighetsgraden 9,2 av 10 enligt CVSS och kan under vissa förutsättningar göra det möjligt för en angripare att köra skadlig kod på ett sårbart system utan att först behöva logga in.
Det innebär att en angripare potentiellt kan få obehörig åtkomst till system, påverka tjänster eller använda den komprometterade miljön som utgångspunkt för ytterligare angrepp.
Sårbarheterna är så pass allvarliga att CERT-SE rekommenderar organisationer att agera skyndsamt.
Aktiva angreppsförsök har redan observerats
Arctic Wolf Labs rapporterar nu om omfattande skanningsaktivitet och aktiva försök att utnyttja PHP2Shell. Bland annat har man identifierat angreppsförsök där angripare försökt köra kommandon på sårbara system och ladda ner ytterligare skadlig kod.
Det understryker vikten av att agera snabbt, både för att åtgärda sårbarheterna och för att undersöka om det redan finns tecken på angrepp i den egna IT-miljön.
De observerade försöken innebär dock inte i sig att ett lyckat intrång har kunnat bekräftas.
Hur vet ni om er organisation använder PHP?
För många verksamheter är den första utmaningen att identifiera var PHP faktiskt finns.
PHP används inte bara bakom traditionella webbplatser, utan kan också vara en del av affärssystem, applikationer, administrationsgränssnitt och andra produkter i IT-miljön.
En inventering kan göras med hjälp av befintliga tillgångsregister, sårbarhetsskanningar och verktyg för server- och applikationshantering. Det är också viktigt att kontrollera information från leverantörer vars produkter kan innehålla PHP.
Glöm inte heller containerbaserade applikationer och produkter där PHP ingår som en bakomliggande komponent. Dessa installationer kan vara svårare att upptäcka genom en traditionell inventering.
Målet är att få svar på tre frågor:
- Var används PHP?
- Vilka versioner är installerade?
- Och vilka system är exponerade och behöver prioriteras?
Vad behöver ni göra nu?
Det viktigaste är att snabbt få kontroll över vilka system som kan vara berörda och säkerställa att relevanta säkerhetsuppdateringar installeras.
Börja med att inventera. Skapa en samlad bild av berörda system och dokumentera vilka som behöver åtgärdas. Säkerställ också att det finns en ansvarig för varje system.
Prioritera internetexponerade system. System som kan nås direkt från internet bör granskas och åtgärdas först eftersom de ofta innebär en större risk.
Installera säkerhetsuppdateringar. PHP har publicerat korrigerade versioner och rekommenderar uppdatering till PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35. För produkter med inbyggd PHP behöver respektive leverantörs rekommendationer följas.
Säkerställ också att uppdateringarna verkligen har aktiverats. Det kan exempelvis innebära att berörda tjänster behöver startas om eller att containerbaserade applikationer behöver uppdateras och driftsättas på nytt.
PHP 8.1 och äldre versioner omfattas inte längre av PHP-projektets ordinarie säkerhetsuppdateringar och kan därför kräva särskilda åtgärder. Kontrollera om er leverantör tillhandahåller egna säkerhetsuppdateringar eller om systemet behöver uppgraderas.
Undersök tecken på intrång. Eftersom aktiva angreppsförsök redan har observerats är det viktigt att inte enbart fokusera på säkerhetsuppdateringar. Granska även loggar och säkerhetsövervakning för att identifiera misstänkt aktivitet, exempelvis ovanliga kommandon, okända processer eller försök att installera skadlig kod.
En säkerhetsuppdatering åtgärdar sårbarheten, men innebär inte automatiskt att ett eventuellt intrång är hanterat.
Minska exponeringen om ni inte kan uppdatera omedelbart. CERT-SE rekommenderar att internetexponerade PHP-applikationer isoleras från publika nätverk om säkerhetsuppdateringarna inte kan genomföras. Andra kompletterande skydd kan också minska risken, men ersätter inte patchning.
Hur kan Cuebid hjälpa till?
Händelser som PHP2Shell visar hur viktigt det är att ha kontroll över sin IT-infrastruktur och förmågan att snabbt agera när nya kritiska sårbarheter upptäcks.
På Cuebid arbetar vi med cybersäkerhet från grunden genom att hjälpa verksamheter att stärka sina grundläggande cybersäkerhetsförmågor: Skydda, Upptäcka och Hantera.
Det kan handla om att kartlägga och validera exponering, stärka skyddet framför kritiska applikationer, förbättra övervakningen eller säkerställa att organisationen har rätt beredskap för att hantera ett angrepp.
Med vår egen specialistkompetens och stöd från ett brett nätverk av partners, exempelvis Arctic Wolf, F5, Fortinet, Horizon3, Infoblox och Rubrik, kan vi hjälpa verksamheter att identifiera risker, stärka skyddet, upptäcka angrepp och hantera kritiska säkerhetshändelser.
Det viktigaste just nu är dock att inte vänta med att inventera och åtgärda berörda system.
Är ni osäkra på om er verksamhet är berörd eller hur ni bör prioritera åtgärderna? Kontakta oss på Cuebid så hjälper vi er vidare.
Fördjupande information och rekommendationer
För den som vill läsa mer om sårbarheterna och följa utvecklingen finns ytterligare information hos följande organisationer och teknikpartners.
CERT-SE: Svenska myndighetsrekommendationer och information om berörda versioner och åtgärder.
https://cert.se/2026/10/kritiska-s%C3%A5rbarheter-i-php.html
Fortinet: FortiGuard Labs Threat Signal Report med säkerhetsinformation kring hotet.
https://fortiguard.fortinet.com/threat-signal-report/6551
Horizon3: Teknisk analys av sårbarheterna, påverkade versioner och förutsättningar för exploatering.
https://horizon3.ai/attack-research/vulnerabilities/cve-2026-109618-cve-2026-109619/
F5: Säkerhetsrådgivning om PHP2Shell och utvärdering av påverkan på F5 produkter.
https://my.f5.com/manage/s/article/K000163821
Arctic Wolf Labs, kartläggning och åtgärder: Praktiska rekommendationer för att identifiera PHP-installationer, prioritera säkerhetsuppdateringar och minska exponeringen.
https://arcticwolf.com/resources/blog/arctic-wolf-labs-finding-prioritizing-and-patching-php2shell-exposure/
Arctic Wolf Labs, observerade angreppsförsök: Fördjupad analys av skanningsaktivitet, aktiva exploateringsförsök och kopplingar till skadlig kod.
https://arcticwolf.com/resources/blog/php2shell-critical-php-vulnerabilities-enable-unauthenticated-remote-code-execution/
Publicerad 23 oktober 2026. Informationen bygger på tillgängliga säkerhetsrådgivningar och kan komma att uppdateras i takt med att ny information blir tillgänglig.
Skriven av:
Thomas Hedströmmer
Granskad av:
Paul Haglund
Vi förstår. Det är mycket att hålla koll på – hoten förändras ständigt, regelverken likaså, och tiden räcker sällan till. Cybersäkerhet kan kännas överväldigande, men ni behöver inte lösa allt själva.
Vi hjälper er att ta första steget.
Fyll i formuläret så kontaktar vi dig.
Vanligtvis inom 1-2 arbetsdagar.