Kritiska PHP-hål: kontrollera webbhotellets uppdatering

Driver du en WordPress-sajt, en webbutik eller en annan PHP-baserad webbplats behöver du kontrollera att serverns PHP har säkerhetsuppdaterats. Två kritiska sårbarheter, CVE-2026-109618 och CVE-2026-109619, kan ge en angripare möjlighet att köra kod utan inloggning. Rättningarna publicerades den 21 oktober. Det räcker inte att uppdatera WordPress eller dess tillägg.

Webguide.se:s råd: Be webbhotellet bekräfta att just din sajts PHP-miljö har fått båda rättningarna. Har du en egen server behöver du eller din driftleverantör genomföra uppdateringen och kontrollera att den används av webbtrafiken.

Nytt råd den 23 oktober: kontrollera sessionsinställningen

PHP-projektet varnar den 23 oktober för ytterligare en möjlig väg att köra kod, CVE-2026-115560. Den kräver en ovanlig kombination av inställningar och programkod. Det betyder inte att alla PHP-sajter är drabbade. Rättningarna från den 21 oktober behövs fortfarande för de två ursprungliga hålen.

På vanligt webbhotell: be driftleverantören bedöma om det nya rådet berör din miljö. Ändra inte WordPress-inställningar för att försöka lösa en serverfråga. Ett tidigare färdigbesked om de två ursprungliga hålen bekräftar inte automatiskt skydd mot den nya varianten.

För serveransvarig: PHP rekommenderar att session.upload_progress.enabled=0 behålls eller införs tills nästa ordinarie felrättningsutgåva. CERT-EU:s uppdatering den 23 oktober, version 1.2 anger också att alla PHP-workers ska startas om så att inställningen används. Det kan slå ut uppladdningens förloppsindikator; kontrollera berörda funktioner. Har inställningen redan stängts av enligt det tidigare rådet ska den enligt PHP lämnas avstängd.

Den ovanliga kombinationen är att applikationen har session.serialize_handler satt till php_binary eller php_serialize, byter till php med ini_set() före session_start() och samtidigt har uppladdningsförlopp aktiverat. Enligt PHP kan applikationer som aldrig byter sessionshanterare under körning behålla funktionen. En fullständig säkerhetsbeskrivning kommer med nästa ordinarie utgåva; PHP aviserar ingen separat akututgåva för detta.

Cloudflares filterskydd har en begränsning. I en uppdatering daterad den 23 oktober uppger företaget att dess befintliga WAF-regel även stoppar kända försök mot CVE-2026-115560 när PHP:s standardnamn för uppladdningsfältet används. Om session.upload_progress.name har ändrats omfattas sajten enligt Cloudflare inte av den regeln. Serveransvariga som förlitar sig på filtret behöver därför kontrollera namnet; det ersätter inte PHP:s och CERT-EU:s råd ovan.

Vilka PHP-versioner har rättats?

PHP-projektets säkerhetsbesked anger PHP 8.2.35, 8.3.36, 8.4.27 och 8.5.12 som rättade versioner. Även PHP-FPM och andra vanliga sätt att köra PHP berörs; det är inte enbart ett Apache-problem.

En del operativsystemsleverantörer för in rättningen i sina egna paket utan att byta till exakt dessa versionsnummer. Be då om bekräftelse för båda CVE-numren och paketets säkerhetsuppdatering. PHP 8.1 och äldre får inte ordinarie säkerhetsutgåvor från PHP-projektet. En gammal installation behöver därför en verifierad leverantörsrättning eller en planerad övergång till en stödd version.

Leverantörspaket kan ha andra versionsnummer

CloudLinux meddelar i sin daterade statuslogg den 22 oktober kl. 19.50 UTC (21.50 svensk tid) att rättade PHP-paket från operativsystemets egna förråd nu finns i den stabila kanalen för samtliga berörda versioner på CloudLinux OS 7–10. Beskedet gäller tillgängliga paket, inte att varje kundserver är uppdaterad. Serveradministratören behöver kontrollera installationen enligt leverantörens anvisningar. CloudLinux 6 är inte bekräftat i detta besked.

Den 23 oktober kl. 00.08 UTC (02.08 svensk tid) meddelar CloudLinux också att alt-php-paket för PHP 8.2–8.5 med PHP-projektets nya versionsnummer finns i den stabila kanalen för CloudLinux OS 8 och 9. Enligt leverantören är servrar som redan har de tidigare rättade paketen skyddade mot dessa två sårbarheter; den nya alt-php-uppdateringen anpassar versionsnumren. Ett versionsnummer ensamt avgör alltså inte om rättningen finns. Be webbhotellet bekräfta vad som används för just din webbplats.

Den 23 oktober kl. 13.10 UTC (15.10 svensk tid) meddelar CloudLinux att även ea-php-paket för PHP 8.2–8.5 har fått PHP-projektets versionsnummer i stabila paketförråd. Alt-php-paketen med dessa nummer finns nu också för CloudLinux OS 7. Företaget betonar att tidigare rättade paket redan skyddar mot de två ursprungliga hålen: detta är en anpassning av versionsnummer, inte ett nytt installationstillfälle hos kunderna.

Den 22 oktober kl. 13.17 UTC (15.17 svensk tid) tillade CloudLinux att ett föråldrat cloudlinux-release-paket kan hindra installationen av rättningarna. Det är ett råd för serveradministratören att kontrollera mot leverantörens instruktioner, inte något en vanlig WordPress-användare kan lösa i sin kontrollpanel. Leverantörspaket kan visa äldre PHP-versionsnummer med rättningen införd i efterhand. Tillgängliga paket bevisar inte att ditt webbhotell har installerat dem eller att webbtrafiken använder den rättade koden.

I en uppdatering den 22 oktober kl. 14.31 UTC (16.31 svensk tid) förtydligar CloudLinux att rättade alt-php- och ea-php-paket innehåller båda rättningarna trots lägre versionsnummer än PHP-projektets nya utgåvor. Administratören bör kontrollera CVE-numren i paketets ändringslogg. Enligt leverantören krävs ingen ytterligare åtgärd om de rättade paketen redan är installerade; ett lägre versionsnummer ensamt visar alltså inte att rättningen saknas.

CloudLinux meddelar den 23 oktober kl. 08.40 UTC (10.40 svensk tid) att Imunify360-regeluppsättning 8.88 finns i den stabila kanalen med utökat skydd för uppladdningsförlopp. Det är ett kompletterande filterskydd, inte en ersättning för PHP-rättningarna eller bevis för att kundservern använder skyddet.

Oderland uppger att hanterade tjänster är rättade

I beskedet den 22 oktober kl. 04.05 uppger Oderland att samtliga PHP-versioner är uppdaterade på webbhotell, Agency och Managed Server. CloudLinux-rättningar kan enligt företaget visa äldre versionsnummer, exempelvis 8.2.34. Kunder i Oderland Cloud behöver själva sköta uppdateringen. Uppgiften är leverantörens färdigbesked för angivna tjänster, inte en teknisk kontroll av varje kundserver.

Fler webbhotell lämnar färdigbesked

Vid kontrollen den 22 oktober kl. 16.16 svensk tid uppger även Inleed, Templ och Websupport att rättningar är installerade inom sina angivna kundmiljöer. Inleed beskriver fortfarande vissa begränsningar på webbhotell; Templ fortsätter kontrollera stabiliteten. Websupports besked gäller stödda PHP-versioner från 5.6 och uppåt, medan PHP 5.3 beskrivs separat. Se vår jämförelse av webbhotellens besked för publiceringstider, omfattning och kvarvarande kundansvar.

Simply.com lämnar också färdigbesked. I beskedet den 22 oktober uppger företaget att rättningarna för PHP 7.4 och senare fanns på alla servrar den 21 oktober senast kl. 18.16 CEST. För PHP 7.3 och äldre uppges extra skydd, men ingen rättning; dessa kunder rekommenderas att byta till en nyare version. Beskedet gäller de två ursprungliga hålen, inte det nya rådet ovan.

Du som har vanligt webbhotell

1. Kontrollera webbhotellets driftinformation. Leta efter besked som uttryckligen gäller båda sårbarheterna. Att leverantören arbetar med frågan är inte samma sak som att din server är uppdaterad.
2. Fråga om din webbplats. Skriv exempelvis: ”Har PHP-miljön för min domän rättats för CVE-2026-109618 och CVE-2026-109619? Behöver jag byta PHP-version eller göra något annat?”
3. Gör ett enkelt funktionstest efter åtgärden. Kontrollera inloggning, formulär och butikens viktiga flöden. Byt inte huvudversion på chans om din sajt kräver kompatibilitetstest.

Du kan normalt inte rätta serverns PHP genom WordPress kontrollpanel. Fördelningen av ansvar är särskilt viktig för dig som har VPS med eller utan driftstöd. Kontrollera vad ditt avtal faktiskt omfattar.

Du som ansvarar för en egen server

Har du en egen server med Plesk? Kontrollera även kontrollpanelens separata PHP-motor, utöver den PHP-version som din sajt använder. Plesks officiella ändringslogg anger att den rättats i Obsidian 18.0.81 Update 4 och 18.0.80 Update 11, utgivna den 21 oktober. Att uppdateringarna finns är inte bevis för att de installerats på din server. Med en hanterad tjänst: be driftleverantören bekräfta vad som omfattas och är uppdaterat.

Följ systemleverantörens säkerhetsinstruktioner, installera rättade paket och säkerställ att berörda PHP-processer använder den nya koden. En versionskontroll i terminalen visar inte automatiskt vilken PHP-miljö varje webbplats kör. Glöm inte separata containrar, äldre webbplatser och produkter där PHP ingår bakom kulisserna.

CERT-EU rekommenderar skyndsam uppdatering och att internetexponerade resurser övervägs för isolering om rättning inte kan genomföras. PHP-projektets tillfälliga begränsningar ersätter inte uppdateringen. Gör ingen generell ändring av minnes- eller uppladdningsinställningar utan att bedöma påverkan på den egna miljön.

Om det finns tecken på intrång behöver loggar och andra spår bevaras. En uppdatering tar bort sårbarheten men visar inte att en tidigare komprometterad server är ren. Återställning kräver också kontroll av vad som hänt sedan säkerhetskopian togs.

Angrepp rapporteras – men nedstängning är inte bevis på intrång

Cloudflare uppger den 21 oktober att företaget har observerat angreppstrafik och infört skydd i sin webbapplikationsbrandvägg. Det är ett leverantörsbesked om angreppsförsök, inte en lista över namngivna organisationer där intrång har bekräftats. Även med brandväggsskydd behöver PHP rättas.

Granska även tiden före säkerhetsbeskedet. I ett besked daterat den 21 oktober uppger Amazon Threat Intelligence att företagets lockbetessystem MadPot registrerade ett angreppsförsök redan den 17 oktober. Fler försök följde den 21 oktober. AWS kan inte fastställa om dessa försök skulle ha lyckats mot verkliga system; uppgiften bekräftar inget namngivet kundintrång. För den som driver egen server är rådet att granska webbserverloggar, oväntade processer och filändringar från minst den 17 oktober, inte bara från dagen då rättningen släpptes. På vanligt webbhotell: be driftansvarig bedöma om en sådan granskning behövs för din miljö. En installerad rättning ersätter inte kontroll av tidigare misstänkt aktivitet.

Dokumenterade drabbade och förebyggande nedstängningar

Vi följer både bekräftade intrång och verksamheter som fått stänga tjänster förebyggande. Uppgifterna nedan beskriver vad respektive källa meddelade den 21–22 oktober, inte en aktuell tillgänglighetsmätning.

• BambooHR: återöppnat efter förebyggande stängning. Enligt företagets egen statuslogg stängdes tjänster i USA, Kanada och Irland den 21 oktober kl. 11.51 UTC som försiktighetsåtgärd. Kl. 18.01 UTC uppgav företaget att tjänsten var tillbaka efter rättning och validering. Arbetet, inklusive lönehantering, hade påverkats. Beskedet bekräftar inte intrång och är ingen egen aktuell driftmätning.
• Nederländernas NCSC: förebyggande nedstängning. Myndigheten meddelade kl. 13.59 att den egna webbplatsen tagits offline som försiktighetsåtgärd. Beskedet bekräftar inte intrång.
• Nederländska myndighetssajter: förebyggande nedstängningar. Regeringens besked den 21 oktober kl. 15.13 beskriver förebyggande stängningar hos myndigheter. Regeringen namnger Overheid.nl, MijnOverheid.nl och DigiD bland webbplatser som stängts förebyggande. Uppgiften gäller beskedet den 21 oktober och är inte en egen mätning av tjänsternas nuvarande drift. Beskedet bekräftar inte intrång.
• Nederländska domstolsväsendet: återöppnat efter förebyggande stängningar. I beskedet, senast ändrat den 22 oktober kl. 13.52, uppger Rechtspraak att alla berörda webbplatser och filbrevlådan är tillgängliga igen. Tiden är sidans uppdateringstid, tolkad som nederländsk lokal tid (CEST), inte en separat återöppningstid. Den 21 oktober hade Werkenbijderechtspraak.nl, SSR.nl (MijnSSR) och en filbrevlåda för journalister stängts förebyggande. Beskedet bekräftar inte intrång; vi har inte gjort någon egen driftmätning.

Namngivna intrångsoffer: I de primärkällor vi har kontrollerat för denna publicering har vi ännu inte verifierat ett namngivet intrångsoffer. Det betyder inte att inga intrång har skett. Listan kompletteras när det finns tillräckliga belägg, med händelsedatum, källa och vad som faktiskt bekräftats.

Se även vår daterade genomgång av åtta webbhotells besked: vilka tjänster leverantörerna uppger är rättade, vad som pågår och vem som behöver agera själv.

Det här följer vi härnäst

Webguide.se följer nya rättningar, ändrade myndighetsråd, svenska webbhotells besked samt dokumenterade incidenter och återöppnade tjänster. Vi uppdaterar artikeln när nya verifierade uppgifter ändrar råden eller bilden av händelsen. Ursprungligt publiceringsdatum behålls och sakändringar redovisas nedan.

Ändringslogg

• 23 oktober 2026, kvällen: Förtydligat Cloudflares avgränsade WAF-skydd mot den nya varianten och vad serveransvariga behöver kontrollera. Kompletterat CloudLinuxs paketbesked från kl. 13.10 UTC; versionsbyte skiljs från en ny säkerhetsrättning.
• 23 oktober 2026, eftermiddagen: Lagt till PHP:s och CERT-EU:s nya, avgränsade råd för CVE-2026-115560. Kompletterat med Simply.coms tidigare publicerade färdigbesked och CloudLinuxs nya filterskydd. Värdarnas tidigare färdigbesked gäller de två ursprungliga sårbarheterna.
• 23 oktober 2026, morgonen: Rättat vår tidigare felaktiga uppgift om att regeringskällan inte namnger nederländska tjänster. Beskedet namnger Overheid.nl, MijnOverheid.nl och DigiD och gäller förebyggande stängningar den 21 oktober, inte nya stängningar i dag. Kompletterat rådet för egen server med Plesks separata PHP-motor och dess utgivna rättningar.
• 23 oktober 2026: Uppdaterat CloudLinuxs paketläge med beskeden kl. 19.50 UTC den 22 oktober och kl. 00.08 UTC den 23 oktober. Skiljer stabila paket och versionsnummer från bekräftad installation hos webbhotellet.
• 22 oktober 2026, kvällen: Lagt till AWS uppgift om angreppsförsök i MadPot från den 17 oktober och rådet att granska tidigare aktivitet samt CloudLinux förtydligande kl. 14.31 UTC om rättade paket med äldre versionsnummer. Uppgiften gäller lockbetessystem och bekräftar inget namngivet kundintrång.
• 22 oktober 2026, eftermiddagen: Kompletterat med Inleeds, Templs och Websupports färdigbesked, kvarvarande begränsningar, CloudLinuxs daterade paketförtydliganden och Rechtspraaks återöppning. Tog då bort namngivningen av nederländska tjänster efter en felaktig källtolkning; se rättelsen den 23 oktober. Inga nya namngivna intrångsoffer verifierade.
• 22 oktober 2026, morgonen: Kompletterat med CloudLinux paketbesked kl. 06.00 UTC, Oderlands färdigbesked kl. 04.05 samt BambooHR:s återöppningsbesked och Rechtspraaks förebyggande stängningar. Inga nya namngivna intrångsoffer bekräftade i de kontrollerade källorna.
• 21 oktober 2026: Första publicering med släppta rättningar, råd för webbhotell och egen server samt källbelagda förebyggande nedstängningar.