To alvorlige sikkerhetssårbarheter i PHP, CVE-2026-109618 og CVE-2026-109619, kan gi uvedkommende mulighet til å kjøre kode på sårbare webservere. Sikkerhetsoppdateringer er nå tilgjengelige, og virksomheter som benytter PHP bør oppdatere umiddelbart.
Den 21. oktober 2026 ble sikkerhetsoppdateringer publisert for to kritiske sårbarheter i PHP. Begge er vurdert til 9,2 av 10 på CVSS v4.0-skalaen og kan muliggjøre fjernkjøring av kode uten autentisering. CERT-EU Security Advisory 2026-018 anbefaler organisasjoner å oppdatere berørte systemer umiddelbart.
Status hos ITDOK:
Alle våre servere er oppdatert med sikkerhetsoppdateringene som adresserer disse sårbarhetene. Vi følger samtidig utviklingen og tilgjengelig sikkerhetsinformasjon fortløpende.
Hva er CVE-2026-109618 og CVE-2026-109619?
Sårbarhetene ligger i PHP og er derfor ikke begrenset til ett bestemt CMS, rammeverk eller én enkelt applikasjon.
CVE-2026-109618 kan føre til fjernkjøring av kode gjennom minnekorrupsjon knyttet til PHPs håndtering av out-of-memory-situasjoner.
CVE-2026-109619 gjelder såkalt stale global state, der intern tilstand fra en forespørsel kan bli liggende igjen etter at minnet den var knyttet til er frigitt. Dette kan under de rette omstendighetene utnyttes til fjernkjøring av kode.
Begge sårbarhetene kan utnyttes uten autentisering. CERT-EU Security Advisory 2026-018 opplyser også at offentlig teknisk informasjon og de første proof-of-concept-eksemplene har begynt å sirkulere.
Hvilke PHP-versjoner må oppdateres?
De korrigerte versjonene som ble publisert 21. oktober er:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1 og eldre er end-of-life hos PHP-prosjektet og mottar ikke lenger ordinære oppdateringer derfra.
Dette gjør det ekstra viktig å kontrollere eldre servere, nettsider og applikasjoner som kanskje har blitt stående på utdaterte PHP-versjoner.
Ikke bare WordPress-nettsider
Problemet gjelder PHP-miljøet og er derfor relevant for langt mer enn WordPress.
Problemet gjelder PHP-miljøet og er derfor relevant for langt mer enn WordPress.
Ifølge CERT-EU Security Advisory 2026-018 er PHP-installasjoner som håndterer webforespørsler utsatt, blant annet miljøer basert på:
- PHP-FPM
- Apache/mod_php
- php-cgi
- FrankenPHP
- LiteSpeed
Dette betyr at også egenutviklede PHP- og Laravel-løsninger, nettbutikker, API-er og andre backend-systemer må vurderes dersom de kjører på berørte PHP-versjoner.
ITDOK har allerede oppdatert serverne
For ITDOK er sikkerhet og vedlikehold av infrastrukturen en kontinuerlig oppgave.
For ITDOK er sikkerhet og vedlikehold av infrastrukturen en kontinuerlig oppgave.
Alle våre servere er oppdatert med de relevante sikkerhetsoppdateringene mot CVE-2026-109618 og CVE-2026-109619.
Vi følger også situasjonen videre. Når alvorlige sårbarheter blir offentlig kjent, er det viktig ikke bare å installere tilgjengelige oppdateringer, men også å følge med på ny informasjon om sårbarhetene, angrepsaktivitet og eventuelle ytterligere tiltak.
Hva bør bedrifter gjøre nå?
Virksomheter som drifter egne nettsider eller servere med PHP bør:
- Kontrollere hvilken PHP-versjon serveren kjører.
- Oppdatere til en korrigert og støttet PHP-versjon.
- Kartlegge eldre nettsider og systemer som fortsatt benytter utgåtte PHP-versjoner.
- Prioritere internetteksponerte systemer.
- Kontrollere tredjepartsprogramvare som kan inneholde PHP som komponent.
Dette er også i tråd med anbefalingene fra britiske National Cyber Security Centre, som anbefaler å kartlegge PHP-installasjoner i infrastrukturen med særlig prioritet på internetteksponerte systemer.
Sikkerhet handler også om løpende vedlikehold
Hendelsen illustrerer hvorfor løpende servervedlikehold og sikkerhetsoppdateringer er avgjørende. En nettside kan fungere helt normalt samtidig som underliggende programvare inneholder alvorlige sikkerhetshull.
Hendelsen illustrerer hvorfor løpende servervedlikehold og sikkerhetsoppdateringer er avgjørende. En nettside kan fungere helt normalt samtidig som underliggende programvare inneholder alvorlige sikkerhetshull.
For bedrifter betyr det at drift av nettsider og digitale tjenester ikke bør stoppe ved lansering. Server, PHP-versjon, rammeverk, CMS, utvidelser og øvrige komponenter må holdes oppdatert gjennom hele systemets levetid.
ITDOK følger sikkerhetsutviklingen kontinuerlig, og våre servere er allerede oppdatert med sikkerhetsoppdateringene for de aktuelle PHP-sårbarhetene.
