PHP-forvaltere varsler kritiske sikkerhedsrettelser med få timers varsel

Driftsansvarlige verden over forbereder sig på hasteopdateringer, efter at PHP-projektet har varslet udsendelsen af to kritiske sikkerhedsrettelser. Begge sårbarheder er vurderet til 9,2 ud af 10 på CVSS-skalaen, og sikkerhedsfirmaer forventer, at aktive angreb kan begynde umiddelbart efter offentliggørelsen af rettelserne.

Det skriver ArsTechnica. Også Bleeping Computer har en historie om det, ligesom CERT-EU ifølge Reuters har udsendt en advarsel.

PHP-forvalterne oplyser, at opdateringerne kan blive frigivet tidligere end planlagt, hvis flere detaljer lækker, eller hvis der observeres aktiv udnyttelse i praksis.

Lækkede oplysninger skaber bekymring

Advarslen følger rapporter om et værktøj med navnet "PHP2Shell", som angiveligt kan bruges til fjernkørsel af kode på en lang række PHP-baserede platforme.

De ubekræftede oplysninger peger på, at populære løsninger som WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal og WHMCS kan påvirkes indirekte gennem den underliggende PHP-platform.

Selvom de tekniske detaljer endnu ikke er offentliggjort, oplyser flere sikkerhedsfirmaer, at de har verificeret eksistensen af de to sårbarheder, der er registreret som CVE-2026-109618 og CVE-2026-109619.

Risikoen kan få stor rækkevidde

PHP er fortsat en af internettets mest udbredte programmeringsplatforme og udgør fundamentet for et betydeligt antal websites, webapplikationer og interne systemer.

Hvis de foreløbige oplysninger holder stik, kan sårbarhederne potentielt påvirke installationer helt tilbage til PHP 5, som blev lanceret i 2004. Det vil i praksis betyde, at et meget stort antal systemer kan være berørt.

Flere sikkerhedsvirksomheder advarer om, at masseudnyttelse kan følge kort efter offentliggørelsen af rettelserne, da angribere forventes at analysere opdateringerne for hurtigt at identificere de underliggende fejl.

Organisationer opfordres til at forberede sig

PHP-projektet anbefaler organisationer allerede nu at identificere alle systemer, der anvender PHP, planlægge vedligeholdelsesvinduer og sikre, at backup af websites og databaser er opdaterede.

Samtidig opfordres administratorer til nøje at overvåge information fra PHP-projektet i tilfælde af ændringer i frigivelsesplanen.

Indtil de tekniske detaljer offentliggøres, er omfanget af sårbarhederne fortsat uklart. Det usædvanlige er dog, at PHP-forvalterne har udsendt en forhåndsadvarsel af denne karakter. Det er et signal, som de fleste driftsteams næppe vil overse, slutter ArsTechnica.