Sårbarheterna, spårade som CVE-2026-109618 och CVE-2026-109619, kunde tillåta angripare att fjärrstyra skadlig kod på sårbara servrar utan autentisering. PHP:s säkerhetsgrupp utfärdade uppdateringar den 21 oktober 2026 kl. 13.40 UTC. Fullständiga tekniska detaljer om dessa uppdateringar, liksom de berörda och de fasta versionerna följer med utgåvan.
PHP:s säkerhetsrådgivning finns på https://www.php.net/archive/2026.php
Organisationer bör identifiera sina PHP-baserade applikationer, samordna med värd- och tjänsteleverantörer och tillämpa de släppta säkerhetsuppdateringarna. Prioritera internetanslutna system. Om omedelbar sanering inte är möjlig, överväga att isolera exponerade tillämpningar från offentliga nät tills korrigeringar kan tillämpas.
Många kommersiella produkter och produkter med öppen källkod är beroende av PHP i bakgrunden. Som ett resultat kan vissa påverkas av dessa sårbarheter även om de inte verkar använda PHP direkt. Vi rekommenderar att du kontrollerar NCSC-NL GitHub-arkivet för information om programvara från tredje part som innehåller PHP och kan påverkas: https://github.com/NCSC-NL/php2shell
De senaste råden från medlemmarna i CSIRT-nätverket finns i deras relevanta officiella kommunikationskanaler. Organisationer kan också hänvisa till vägledning från CERT-EU. Enisa har en rådgivande samling på https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
Enisa och alla relevanta EU-aktörer kommer att fortsätta att övervaka detta hot för att bidra till den övergripande situationsmedvetenheten på unionsnivå.
EU-politik
Organisationer bör dessutom vara medvetna om att tillverkare av hårdvaru- och programvaruprodukter från och med den 11 september 2026 måste rapportera aktivt utnyttjade sårbarheter via kreditvärderingsinstitutens gemensamma rapporteringsplattform, i enlighet med förordning (EU) 2024/2847 (cyberresiliensakten). Mer information finns på https://digital-strategy.ec.europa.eu/en/policies/cra-reporting och https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp.
De viktigaste cybersäkerhetskraven i cyberresiliensakten kommer att gälla från och med den 11 december 2027. Dessa kommer att kräva att tillverkare av hårdvaru- och programvaruprodukter (produkter med digitala element) genomför inbyggd säkerhet och säkerställer säkerhetsstöd under sådana produkters livscykel, inbegripet åtgärdande av sårbarheter utan dröjsmål.
Last update
22 oktober 2026