PHP-sårbarheten PHP2Shell – vad betyder den för dig?

PHP-sårbarheten PHP2Shell har skapat stora rubriker. Det handlar om två kritiska säkerhetsfel i PHP som kan göra det möjligt för en angripare att köra kod på en sårbar server utan att först logga in. Säkerhetsuppdateringar släpptes den 21 oktober 2026.

Men vad betyder det för dig som spelar, arbetar eller handlar på nätet? Det viktigaste är att skilja mellan att använda en webbplats och att ansvara för servern som driver den. Här går vi igenom vad som är bekräftat och vem som behöver agera.

Vad är PHP och varför får sårbarheten så stor uppmärksamhet?

PHP är ett programmeringsspråk som används på serversidan i många webbplatser och webbtjänster. Servern behandlar en förfrågan och skickar ett svar till webbläsaren. Du behöver alltså inte själv ha PHP installerat för att använda en webbplats som bygger på det.

Felen finns i PHP:s hantering av minne och fel, vilket gör dem relevanta för många olika tjänster. The PHP Foundation beskriver att de under rätt förutsättningar kan ge remote code execution, RCE: angriparen får köra kod på det berörda systemet. Läs PHP Foundations genomgång.

Vad är PHP2Shell och vilka fel handlar det om?

PHP2Shell är samlingsnamnet som används i rapporteringen om CVE-2026-109618 och CVE-2026-109619. Båda klassas som kritiska med CVSS 4.0-poängen 9,2. Poängen beskriver allvarlighetsgraden; den betyder inte att 92 procent av alla datorer är angripna.

Förenklat gäller det ena felet problem vid minnesbrist och det andra kvarhängande internt tillstånd efter fel. Angrepp har demonstrerats i verkliga servermiljöer. Därför ska en berörd driftmiljö uppdateras skyndsamt, även om webbplatsen ser ut att fungera som vanligt. Detaljerna finns hos The PHP Foundation och CERT-EU.

Vilka PHP-versioner har fått säkerhetsuppdateringar?

PHP-projektet publicerade följande korrigerade utgåvor den 21 oktober 2026. Kontrollera även senare säkerhetsversioner och driftleverantörens paketinformation när uppdateringen genomförs.

Äldre PHP-grenar behöver särskild uppmärksamhet. Den som använder distributionspaket eller utökat leverantörsstöd ska kontrollera om en rättning har bakportats till det aktuella paketet. En bakport innebär att säkerhetsfixen förs in utan byte till en ny huvudgren. Följ PHP-projektets uppdateringsråd och leverantörens besked.

Kan min gamingdator drabbas av PHP-sårbarheten?

Nyheten innebär inte att din dator automatiskt är sårbar. PHP2Shell gäller den PHP-miljö som tar emot och behandlar webbförfrågningar. Det är något annat än att använda webbläsaren för att läsa en nyhet eller handla i en webbutik.

Om du själv kör en PHP-baserad utvecklingsserver, ett lokalt webbpaket eller annan programvara som innehåller PHP behöver den däremot kontrolleras. Bedöm den faktiska tjänsten och hur den kan nås. Utgå inte enbart från att datorn är en privat PC eller kör Windows.

För den som planerar en utvecklingsdator finns vår guide till dator för programmering och Docker. I NCS konfigurator kan datorn anpassas efter verktygen och projekten. Säkerhetsuppdateringar hör sedan till programvarans löpande underhåll.

Vad ska du göra om du driver en webbplats eller PHP-server?

1. Ta reda på vem som sköter PHP. Det kan vara du, webbhotellet, en driftpartner eller en programleverantör.
2. Kontrollera berörda miljöer. Ta även med utvecklings-, test- och andra tjänster som kan hantera webbförfrågningar.
3. Installera en verifierad rättning. Följ PHP-projektets och leverantörens instruktioner och kontrollera den körande miljön efteråt.
4. Begränsa exponeringen om rättningen dröjer. CERT-EU rekommenderar att överväga isolering av internetåtkomliga tjänster tills fixen är installerad och verifierad.

PHP-projektet betonar att tillfälliga inställningsändringar inte ger ett fullständigt skydd. De ska inte användas som skäl att skjuta upp uppdateringen. Att bara uppdatera ett CMS eller ett tillägg är inte heller samma kontroll som att säkerställa att PHP-motorn har rättats.

Vad gäller för NCS och vår webbutik?

Nordiccs.se använder Shopify som handelsplattform. Shopify inkluderar webbhosting och automatiska plattformsuppdateringar, vilket innebär ett annat driftansvar än för en egeninstallerad PHP-webbserver. Så beskriver Shopify sin hosting.

Separata appar, integrationer och externa tjänster behöver bedömas utifrån respektive leverantörs besked. Plattformens driftmodell är därför inte ett generellt säkerhetsintyg för alla tjänster som ett företag kan använda.

För ditt val av gamingdator eller arbetsdator är det fortfarande programmen, spelen och arbetsuppgifterna som ska styra. Behöver du kombinera spel med webbutveckling kan vi i konfiguratorn planera ett bygge efter båda användningsområdena. Ett hårdvarubyte ersätter inte en säkerhetsuppdatering av en sårbar tjänst.

Vanliga frågor om PHP2Shell

Behöver jag installera PHP för att kunna surfa säkert?

Nej. Att använda en PHP-baserad webbplats kräver inte att du installerar PHP på din dator.

Räcker det att uppdatera Windows?

Om du kör en berörd PHP-tjänst måste även den få rättningen. Windows-uppdatering är inte i sig bevis på att PHP är uppdaterat.

Betyder en stängd webbplats att kunduppgifter har läckt?

Nej. En tillfällig stängning kan vara en skyddsåtgärd. Ett faktiskt intrång eller dataläckage måste bedömas utifrån information om den tjänsten.