Kritisk sårbarhet i PHP
Vi er kjent med to kritiske sårbarheter i programmeringsspråket PHP. De er omtalt i sikkerhetsmiljøet som PHP2Shell. Vi jobber nå med å patche alle kundesystemer som bruker PHP.
Hva er dette?
PHP er teknologien mange nettsider og webløsninger kjører på, inkludert Craft CMS, Wordpress og Magento. Sårbarhetene ligger i PHP selv, ikke i en bestemt nettside, et tillegg eller et system. I verste fall kan en angriper få en server til å kjøre egen kode uten å logge inn. Det kan gi kontroll over løsningen.
PHP ga ut rettelser 21. oktober 2026. Flere sikkerhetsaktører har rapportert at sårbarhetene allerede forsøkes utnyttet. Derfor prioriterer vi dette høyt.
Sikkerhetskoder
| CVE (internasjonal kode) | Alvorlighet |
|---|---|
| CVE-2026-109618 | Kritisk, 9,2 av 10 (CVSS v4.0) |
| CVE-2026-109619 | Kritisk, 9,2 av 10 (CVSS v4.0) |
Du kan bruke kodene hvis du vil lese mer eller sjekke status hos andre leverandører. Rettelsene finnes i PHP 8.2.35, 8.3.36, 8.4.27 og 8.5.12.
Hva gjør vi?
- Vi oppdaterer PHP på alle kundesystemer.
- Vi følger opp med informasjon til kunder hvor oppdateringer er problematisk.
Hva trenger du å gjøre?
Du trenger ikke gjøre noe for at rettelsen kommer på plass. Vi tar oss av oppdateringen.
Vær likevel ekstra oppmerksom de nærmeste dagene. Oppdager du at noe som tidligere virket, har sluttet å virke eller oppfører seg annerledes, ber vi deg melde fra med en gang. Det gjelder for eksempel innlogging, skjemaer, filopplasting, import og eksport, planlagte jobber og integrasjoner. Årsaken kan være selve oppdateringen.
Send en e-post til hjelp@99x.io og oppgi:
- hva som ikke fungerer
- hvilken nettside eller hvilket system det gjelder
- når du la merke til det
- eventuell feilmelding eller et skjermbilde
Meld fra selv om du er usikker. Det er bedre at vi får en melding for mye enn en for lite.
Egil Fujikawa-Nes
CTO