Kort sagt: En uge efter det første observerede angrebsforsøg er PHP2Shell aktuelt først og fremmest et spørgsmål om gennemførelse: Patches til PHP 8.2 til 8.5 foreligger siden den 21. oktober, store distributioner har fulgt efter, BSI advarer med niveau orange. Angrebsforsøg er observeret, bekræftede vellykkede angreb i bredden meldte BSI indledningsvis ikke. Åbne punkter er ældre versioner, servere uden genstart og spørgsmålet om, hvad der skete før patchen.
Situationen i tre sætninger
PHP2Shell er to kritiske sårbarheder i selve PHP-fortolkeren, CVE-2026-109618 og CVE-2026-109619, hver vurderet til CVSS v4.0 9,2. De tillader kodeudførelse på afstand uden login, altså det tilfælde, sikkerhedsfolk frygter mest. Berørt er PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed; den højeste risiko ser PHP-teamet ved mod_php.
Dette overblik ordner status den 25. oktober 2026 efter aktører. Forløbet dag for dag finder I i PHP2Shell-kronologien, her drejer det sig om helhedsbilledet.
Hvad der er dokumenteret efter en uge
Sikre er PHP-projektets oplysninger: Udgivelserne 8.5.12, 8.4.27, 8.3.36 og 8.2.35 fra den 21. oktober lukker begge sårbarheder. Til PHP 7.4, 8.0 og 8.1 findes der kun minimale kildekode-backports, ingen officielle udgivelser. php.net understreger, at der ikke findes fuldstændige midlertidige foranstaltninger, og at opdateringen er den eneste sikre vej.
Den 23. oktober kom en henvisning til CVE-2026-115560 til. Den angår kun en usædvanlig session-konfiguration; som afhjælpning nævner php.net session.upload_progress.enabled=0 indtil den næste regulære bugfix-udgivelse.
Også de store distributioner har taget stilling. Vi har kontrolleret de officielle meddelelser:
| Udbyder | Status ifølge officiel meddelelse |
|---|---|
| Ubuntu | USN-8948-1 til 22.04, 24.04, 26.04 og 26.10; USN-8948-2 til 14.04 til 20.04 via Ubuntu Pro |
| Debian | Rettede pakker til bookworm (php8.2, DLA-4848-1) og trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 til RHEL 7 til 10; nogle opdateringer tilgængelige, flere under udarbejdelse |
Red Hat vurderer CVE-2026-109618 til „Important“ med egen vurdering og begrunder det med højere angrebskompleksitet. Det er en anden vurderingsmetode end PHP-projektets og ingen grund til at udskyde opdateringen.
Hvordan myndigheder vurderer situationen
BSI har udråbt advarselsniveau 3 / orange. Det anbefaler en øjeblikkelig opdatering og, hvis det ikke straks er muligt, midlertidigt at tage de berørte webservere af nettet. BSI regnede med hurtig omfattende udnyttelse. Hvad vurderingen betyder, forklarer siden Hvad BSI anbefaler om PHP2Shell.
Ifølge rapporter anser CERT-EU det for muligt, at versioner fra og med PHP 5 er berørt, og anbefaler at isolere offentligt tilgængelige applikationer, hvis de ikke kan patches rettidigt. CERT-Bund (det tyske statslige CERT) og sikkerhedsvirksomheden Huntress har ligeledes advaret.
Anbefalingen om at lukke ned, hvis det er nødvendigt, er blevet synligt gennemført. Ifølge mediedækning tog byen Mainz sin centrale webportal af nettet som forholdsregel; forvaltningen forblev tilgængelig pr. telefon og e-mail. I Hessen var ifølge hessenschau sider fra delstatsregeringen, BKA samt byerne Kassel og Wiesbaden midlertidigt offline. Staatskanzlei meldte intet angreb, siderne var tilgængelige igen om aftenen. Yderligere kommuner, universiteter og klinikker handlede ifølge rapporter tilsvarende.
Hvad der vides om angreb
Her er adskillelsen mellem observation og bekræftelse særlig vigtig.
- Observeret: Ifølge mediedækning var der den 17. oktober et første angrebsforsøg, som Amazon observerede. Cloudflare og Patchstack rapporterede om angrebsforsøg; Cloudflare så desuden ændrede angrebsmønstre.
- Genskabt: watchTowr har ifølge rapporter efter egne oplysninger genskabt CVE-2026-109618.
- Ikke bekræftet: BSI meldte indledningsvis ingen bekræftede vellykkede udnyttelser i bredden. Huntress så på tidspunktet for sin meddelelse ingen angreb i partnermiljøer.
- Ukendt: Der findes ingen offentliggjorte, bekræftede Indicators of Compromise. Den, der vil undersøge, om en server er berørt, må holde øje med adfærdsmønstre.
Om omfanget cirkulerer to tal. Forskerne fra Unit 42 hos Palo Alto Networks nåede frem til over 22,6 millioner potentielt sårbare instanser, der er tilgængelige fra nettet. CybelAngel nævner cirka 2,24 millioner tilgængelige PHP-hosts, heraf ifølge egen analyse 59 procent på versioner uden en kommende officiel rettelse. Begge måler forskellige ting og kan ikke sammenlignes direkte. En vurdering giver indlægget Sådan vurderer I tallene rigtigt.
Hvad der er åbent
Tre spørgsmål afgør de næste uger:
- Ældre versioner: En stor del af de tilgængelige PHP-installationer kører ifølge de nævnte analyser på grene uden officiel rettelse. Om kommercielle langtidstilbud dækker PHP2Shell, skal hver gang bekræftes skriftligt hos udbyderen.
- Ufuldstændige opdateringer: Nye pakker virker først, når alle PHP-processer er genstartet. Red Hat henviser udtrykkeligt til, at en ren genindlæsning ikke er nok.
- Tiden før patchen: Mellem den 17. og 21. oktober var servere sårbare, mens der allerede kørte angrebsforsøg. En patch beviser ikke, at der intet skete i denne tid.
Opbevar webserver- og PHP-logs fra og med den 20. oktober, som fagpressen anbefaler. Uden logs kan det vigtigste åbne spørgsmål for jeres server senere ikke længere besvares.
Hvad driftsansvarlige bør kontrollere nu
Til den egen vurdering af situationen er fire kontrolpunkter for hver server nok: Er PHP på en rettet version eller en bekræftet backport? Kører alle processer siden opdateringen? Er session.upload_progress.enabled slået fra på serversiden, så længe advisoryet til CVE-2026-115560 mangler? Er der påfaldende forhold siden den 17. oktober?
Til det sidste punkt hjælper siden Er jeg allerede kompromitteret?. En webserverproces, der starter en shell, nye PHP-filer i upload-mapper, ukendte cronjobs eller SSH-nøgler er advarselssignaler, som retfærdiggør en nærmere undersøgelse.
Hvordan hjælper PHP SOS konkret?
- Vi vurderer patchstatus for hver server ud fra pakkestatus, changelog og processernes starttidspunkter.
- Hvor der ikke findes en patch, indsætter vi php.net's midlertidige foranstaltninger og afklarer vejen til den understøttede version.
- Vi sikrer logs fra og med den 20. oktober og leder efter spor fra tiden før patchen.
- Med PHP2Shell-akuthjælp samler vi disse trin til virksomheder, der hurtigt har brug for klarhed.
Ofte stillede spørgsmål
Udnyttes PHP2Shell allerede aktivt?
Cloudflare og Patchstack rapporterede om angrebsforsøg. Bekræftede vellykkede angreb i bredden meldte BSI (det tyske forbundsagentur for informationssikkerhed) indledningsvis ikke. Huntress så på tidspunktet for sin meddelelse ingen angreb i partnermiljøer.
Er faren forbi efter patchene?
Nej. Patchene beskytter kun servere, der har installeret dem og genstartet alle PHP-processer. Systemer på PHP 8.1 og ældre forbliver uden bekræftet backport sårbare, og en patch fjerner ikke skadelig software, der er smuglet ind tidligere.
Hvorfor var myndigheders websites offline?
Ifølge mediedækning lukkede bl.a. byen Mainz og flere instanser i Hessen deres websites ned som forholdsregel. Det svarer til BSI's anbefaling for servere, der ikke kan opdateres med det samme. En nedlukning betyder ikke, at der har fundet et angreb sted.
Findes der kendetegn for et PHP2Shell-angreb?
Offentliggjorte, bekræftede Indicators of Compromise findes hidtil ikke. Opdagelsen bygger på adfærdsanalyse, f.eks. på PHP-processer, der starter en shell, eller på nye PHP-filer i upload-mapper.