Kritiska PHP-sårbarheter kan öppna för fjärrstyrning av webbservrar

PHP är ett av webbens vanligaste programmeringsspråk och används bland annat för att hantera inloggningar, användarkonton, formulär, beställningar och betalningar. Språket finns också bakom många publiceringssystem och andra webbaserade tjänster. Enligt statistik från W3Techs användes PHP av 69,7 procent av de webbplatser där det gick att identifiera vilket serverspråk som användes den 13 oktober 2026.

Nu har två kritiska säkerhetsbrister identifierats i PHP. Enligt Orange Cyberdefense kan sårbarheterna utnyttjas för att köra egen kod på internetanslutna servrar. Det innebär att en angripare i värsta fall kan få kontroll över en utsatt server och därigenom komma åt data eller påverka de tjänster som körs där.

PHP säkerhetsteam har aviserat en extra säkerhetsrelease den 21 oktober, med planerad publicering klockan 14.00 UTC. Båda sårbarheterna har klassats som kritiska, med betyget 9,2 på CVSS v4.0-skalan. Vid tidpunkten för PHP-teamets förhandsbesked hade detaljer om de berörda versionerna och korrigeringarna ännu inte offentliggjorts.

– Verksamheter måste agera direkt, identifiera vilka system som använder PHP och installera säkerhetsuppdateringar så snart de släpps, säger Peter Larsson, CTO på Orange Cyberdefense.

Bristande kontroll över programvarukomponenter ökar risken

Ett problem är att organisationer inte alltid har en fullständig bild av vilka programvarukomponenter som används i deras digitala miljöer. PHP kan finnas i webbplatser, publiceringsverktyg och applikationer som utvecklats eller förvaltas av externa leverantörer. Därmed kan en verksamhet vara beroende av sårbar teknik utan att själv ha installerat eller konfigurerat den.

– Det är tyvärr vanligt att organisationer inte har kontroll över vilka mjukvarukomponenter som används i deras applikationer, vilket gör att sårbarheter där inte upptäcks, säger Peter Larsson.

För säkerhetsansvariga innebär det att inventeringen inte kan begränsas till system som utvecklas internt. Även externa webbplatser, äldre applikationer och tjänster som hanteras av leverantörer behöver omfattas av arbetet. Organisationer behöver dessutom säkerställa att det finns tydliga kontaktvägar till de leverantörer som ansvarar för uppdateringar.

Orange Cyberdefense rekommenderar att system som inte kan uppdateras isoleras från internet tills en säker lösning finns på plats.

AI kan förkorta angriparnas tid till exploatering

Sårbarheterna aktualiserar också frågan om hur snabbt organisationer måste agera när säkerhetsbrister blir offentligt kända. I en studie från juni 2026 undersökte Anthropic hur språkmodeller kan användas för att utveckla exploateringar mot redan offentliggjorda sårbarheter, så kallade N-day-sårbarheter. Företaget visade att avancerade modeller kunde skapa fungerande exploateringar utifrån publicerade säkerhetsfixar för vissa Firefox- och Windows-sårbarheter.

När en säkerhetsuppdatering publiceras kan angripare jämföra den korrigerade koden med den tidigare versionen för att identifiera vad som har ändrats och försöka återskapa sårbarheten. Om AI dessutom kan automatisera delar av arbetet riskerar tiden mellan en publicerad korrigering och fungerande exploatering att minska. Det gör tiden för uppdatering och verifiering särskilt viktig.

För PHP-sårbarheterna är det därför centralt att organisationer förbereder inventering och uppdatering innan korrigeringarna blir tillgängliga. Efter installation behöver verksamheterna också kontrollera att uppdateringen har genomförts korrekt och att inga tecken på intrång finns i berörda system.

Äldre installationer kräver särskild uppmärksamhet

Säkerhetsarbetet kompliceras av att alla PHP-installationer inte kör versioner som fortfarande får säkerhetsuppdateringar. Enligt The Hacker News ger PHP-teamet säkerhetsfixar till de fyra versioner som för närvarande stöds: 8.2, 8.3, 8.4 och 8.5. Äldre versioner kan därför kräva uppgradering eller andra skyddsåtgärder om de omfattas av sårbarheterna.

För organisationer som inte omedelbart kan uppdatera berörda system är isolering från publika nätverk en möjlig tillfällig åtgärd. Säkerhetsansvariga bör också säkerställa att driftleverantörer och utvecklingspartners känner till situationen och kan redovisa vilka installationer som berörs.

Det första steget är att ta reda på var PHP faktiskt används. Utan en aktuell inventering riskerar även verksamheter med etablerade säkerhetsprocesser att missa system som är exponerade mot internet.