PHP-larmet: kritiska säkerhetshål kräver besked från webbhotellet
Två allvarliga fel i PHP har fått säkerhetsfixar. För profilföretag och tryckerier gäller det att kontrollera webbshoppar, kundportaler och orderflöden.
Två kritiska sårbarheter i PHP, tekniken bakom många webbplatser och webbapplikationer, har utlöst brådskande säkerhetsvarningar. PHP-projektet publicerade rättningar den 21 oktober. För företag inom profil, tryck och expo är frågan konkret: vilken version kör den egna webbshoppen och vem ansvarar för att uppdatera den?
Felen har beteckningarna CVE-2026-109618 och CVE-2026-109619. De kan under vissa förhållanden låta en angripare köra kod på en sårbar server utan inloggning. PHP-projektet anger allvarlighetsgraden 9,2 enligt CVSS v4.0. Det är alltså en säkerhetsfråga i serverns PHP-motor, inte enbart i ett särskilt tillägg eller en enskild webbshop.
Stor räckvidd, men inte alla hemsidor
PHP-projektets varning omfattar PHP-installationer som hanterar webbförfrågningar. Risken varierar med servermiljö, inställningar och applikation. Webbplatser som inte använder PHP omfattas inte automatiskt av just dessa två sårbarheter. Att ett företag använder en välkänd plattform räcker heller inte för att avgöra om dess installation är åtgärdad.
Rättade versioner är PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Vissa systemleverantörer kan leverera säkerhetsfixar som bakåtporteringar till sina egna paket. Därför behövs ett besked om den faktiska säkerhetsuppdateringen, inte bara en avläst versionssiffra. PHP-projektet framhåller att uppdatering är den fullständiga lösningen.
Börja med orderflödet och kundportalen
ENISA och flera europeiska säkerhetsorgan uppmanar organisationer att inventera PHP-baserade tjänster, samordna åtgärder med driftleverantörer och prioritera system som nås från internet. För en återförsäljare kan inventeringen behöva omfatta både företagets huvudsida och separata beställningsportaler, kampanjsidor och filuppladdningar.
Profilradars praktiska råd är att be webbhotellet eller webbyrån bekräfta vilka installationer som berörs, när fixarna infördes och hur det kontrollerats att de är aktiva. Ett uppdaterat publiceringssystem är inte i sig ett besked om att serverns PHP har rättats. Spara svaret tillsammans med företagets driftinformation så att ansvar och tidpunkt går att följa upp.
Uppdatering ersätter inte kontroll av intrång
University of Torontos säkerhetsfunktion påpekar att patchning inte tar bort något en angripare redan har installerat. Misstänkta fel, oväntade filer eller avvikande aktivitet behöver därför bedömas separat av driftansvarig. Säkerhetsartikeln är en omvärldsbevakning; den fastställer inte säkerhetsläget för någon enskild läsares webbplats.
Källor & läs vidare
Sammanfattat med egna ord. Uppgifter och perspektiv kommer från källorna nedan om inget annat anges.
PHP-projektet – säkerhetsbesked och rättade versioner, 21 oktober ENISA – gemensamt europeiskt säkerhetsbesked University of Toronto – säkerhetsråd och kontroll efter uppdatering Kontrollerat 23 okt 2026. Källans publiceringsdatum: 21 okt 2026.
