Sårbarhederne, der spores som CVE-2026-109618 og CVE-2026-109619, kan give angribere mulighed for eksternt at udføre ondsindet kode på sårbare servere uden godkendelse. PHP-sikkerhedsteamet udsendte opdateringer den 21. oktober 2026 kl. 13:40 UTC. Fulde tekniske detaljer om disse opdateringer samt de berørte og de faste versioner ledsager udgivelsen.
PHP-sikkerhedsrådgivning kan findes på: https://www.php.net/archive/2026.php
Organisationer bør identificere deres PHP-baserede applikationer, koordinere med hosting- og tjenesteudbydere og anvende de frigivne sikkerhedsopdateringer. Prioriter internetvendte systemer. Hvis øjeblikkelig afhjælpning ikke er mulig, bør det overvejes at isolere udsatte applikationer fra offentlige netværk, indtil der kan foretages rettelser.
Mange kommercielle og open source-produkter er afhængige af PHP i baggrunden. Som følge heraf kan nogle blive påvirket af disse sårbarheder, selvom de ikke ser ud til at bruge PHP direkte. Vi anbefaler, at du tjekker NCSC-NL GitHub-lageret for oplysninger om tredjepartssoftware, der inkluderer PHP og kan blive påvirket: https://github.com/NCSC-NL/php2shell
De seneste vejledninger, der er offentliggjort af medlemmer af CSIRT-netværket, kan findes i deres relevante officielle kommunikationskanaler. Organisationer kan også henvise til vejledning fra CERT-EU. ENISA opretholder en rådgivende samling under: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
ENISA og alle relevante EU-aktører vil fortsat overvåge denne trussel for at bidrage til den generelle situationsbevidsthed på EU-plan.
EU-politik
Organisationer bør endvidere være opmærksomme på, at fabrikanter af hardware- og softwareprodukter fra den 11. september 2026 skal indberette aktivt udnyttede sårbarheder via CRA's fælles indberetningsplatform i overensstemmelse med forordning (EU) 2024/2847 (forordningen om cyberrobusthed). Yderligere oplysninger findes på: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting og https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
De vigtigste cybersikkerhedskrav i forordningen om cyberrobusthed finder anvendelse fra den 11. december 2027. Disse vil kræve, at producenter af hardware- og softwareprodukter ("produkter med digitale elementer") implementerer indbygget sikkerhed og sikrer sikkerhedsstøtte i sådanne produkters livscyklus, herunder omgående afhjælpning af sårbarheder.
Last update
22 Oktober 2026