PHP-rettelser er klar: Virksomheders websystemer bør opdateres straks
PHP-projektet udgav den 21. oktober 2026 rettelser til to kritiske sårbarheder. CERT-EU anbefaler, at virksomheders it-ansvarlige straks opdaterer berørte websystemer, der behandler webforespørgsler med PHP.
Hvilke systemer er berørt?
Fejlene CVE-2026-109618 og CVE-2026-109619 kan give en angriber mulighed for at køre kode uden at logge ind. Blandt de berørte opsætninger er PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. PHP-projektet vurderer mod_php som opsætningen med størst risiko. Også produkter med indbygget PHP kan være berørt.
Installér en rettet version
De rettede udgaver er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Bruger virksomheden pakker fra en Linux-distribution eller en leverandør med langtidsunderstøttelse, bør den kontrollere leverandørens sikkerhedsopdateringer. PHP 8.1 og ældre modtager ikke længere almindelige opdateringer fra PHP-projektet; undersøg leverandørrettelser eller opgradering til en understøttet version.
Midlertidige tiltag er ikke nok
CERT-EU oplyser, at demonstrationskode cirkulerer, hvilket øger sandsynligheden for udnyttelse; det er ikke en bekræftelse på konkrete angreb. Kun opdatering retter fejlene fuldt ud. Kan opdateringen ikke gennemføres straks, bør organisationen overveje at isolere internetvendte systemer, indtil rettelsen er installeret og kontrolleret.
CERT-EU
Åbn den officielle kildeForklaringen erstatter ikke kildens løbende opdateringer. Kilden kontrolleret 22. oktober 2026.
Materiale fra CERT-EU · CC BY 4.0. Teksten er forkortet, bearbejdet og oversat. CERT-EU anbefaler ikke vores annoncører.