Kritiske PHP-sårbarheder (PHP2Shell)

Hvad er der sket

Der er offentliggjort to kritiske sårbarheder i PHP (CVE-2026-109618 og CVE-2026-109619, også kaldet PHP2Shell). De kan give angribere mulighed for at køre kode på serveren via websites, der bruger PHP, fx WordPress og webshops. Ifølge sikkerhedsforskere kan alle PHP-versioner fra 5 til 8.5 være berørt. PHP offentliggør de præcise detaljer i dag kl. 16:00. Oplysninger om hullerne er lækket før tid, og der forventes forsøg på misbrug kort efter udgivelsen.

Det gør vi

• PHP udgiver rettelser i dag kl. 16:00 til de understøttede versioner 8.2, 8.3, 8.4 og 8.5.
• Derefter udgiver cPanel og CloudLinux deres opdaterede PHP-pakker. Vi installerer dem på alle servere, så snart de er frigivet, og opdaterer denne side undervejs.

Det skal du gøre

• PHP 8.1 og ældre (8.0, 7.x, 5.x) får ingen rettelse. Kører dit website på en af de versioner, skal du skifte til PHP 8.2 eller nyere, helst 8.3 eller 8.4.
• Du skifter version i cPanel under MultiPHP Manager. Test dit website bagefter.
• Kører dit website allerede PHP 8.2 eller nyere, skal du ikke gøre noget. Vi installerer opdateringen for dig.

Opdatering 21/10 - 13:57:

Imunify360, som beskytter vores servere, har udsendt nye firewall-regler, der blokerer den kendte angrebsmetode mod de to sårbarheder. Reglerne er aktive på alle servere. Vi har desuden slået den PHP-funktion, som det kendte angreb udnytter, fra på alle servere. Begge dele er midlertidig beskyttelse og ikke en rettelse, så vi installerer stadig de opdaterede PHP-pakker, så snart de er frigivet.

Opdatering 21/10 - 16:34:

Alle servere er blevet opdateret med ekstra beskyttelse indtil CloudLinux udgiver ea-php specifikke opdateringer.
Vi overvåger det løbende, og holder denne sag opdateret når det er nyt.

Opdatering 21/10 - 19:38:

PHP har nu frigivet rettede versioner af PHP 8.2, 8.3, 8.4 og 8.5, som lukker de to sårbarheder. Vores servere får PHP-pakkerne fra CloudLinux, som forventer at udgive de opdaterede pakker i løbet af aftenen. Vi installerer dem på alle servere, så snart de er frigivet.

Imunify360 har desuden opdateret firewall-reglerne, efter at detaljerne om sårbarhederne blev offentliggjort. Den midlertidige beskyttelse fra tidligere i dag er stadig aktiv på alle servere.

Kører din hjemmeside på PHP 8.2 eller nyere, skal du ikke gøre noget. Kører den på PHP 8.1 eller ældre, bør du skifte til PHP 8.2 eller nyere i cPanel → MultiPHP Manager, da PHP ikke længere vedligeholder de ældre versioner.

Vi opdaterer her, når pakkerne er installeret.

Opdatering 21/10 - 23:41:

De opdaterede PHP-pakker er nu installeret på alle vores cPanel-servere. Rettelserne dækker PHP 5.2 til 8.5 i cPanel → MultiPHP Manager, og PHP er genstartet, så rettelserne er aktive med det samme.

Du skal ikke gøre noget. Vi anbefaler dog stadig PHP 8.2 eller nyere, da PHP ikke længere vedligeholder de ældre versioner.

Opdatering 22/10 - 10:09:

Flere har spurgt, hvorfor deres hjemmeside stadig viser fx PHP 8.4.26 eller 8.5.11, når PHP's rettede versioner hedder 8.2.35, 8.3.36, 8.4.27 og 8.5.12.
Det korte svar er, at alle php versionerne er blevet "patchet" i stedet for opgraderet. Build date står som 21/10 2026

Vi følger situationen og opdaterer her, hvis der kommer nyt.