Ofte stillede spørgsmål

PHP2Shell betegner to kritiske sårbarheder i selve PHP (CVE-2026-109618 og CVE-2026-109619, CVSS 9,2). De kan give angribere mulighed for at køre skadelig kode på serveren uden login. Der findes rettelser siden 21.10.2026.

Rettelserne findes i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Hostingudbydere og distributioner indspiller nogle gange backports uden at ændre versionsnummeret. Det afgørende er pakkens status eller udbyderens skriftlige bekræftelse.

Nej. Sårbarheden ligger i PHP, ikke i CMS'et. En CMS-opdatering lukker den ikke. Og en PHP-rettelse fjerner ikke skadelig kode, der allerede er blevet indsmuglet.

Vi arbejder på afstand og går i gang, så snart adgangene er på plads. Skriv til os på WhatsApp med system, PHP-version og jeres observation. Så afklarer vi fremgangsmåden direkte.

Ja. Vi arbejder direkte for virksomheder, i baggrunden på vegne af bureauer og i samråd med jeres hostingudbyder, hvis denne administrerer serveren.

Hvis personoplysninger kan være berørt, gælder der efter art. 33 GDPR som regel en anmeldelsesfrist på 72 timer fra det tidspunkt, hvor I fik kendskab til hændelsen. Om fristen finder anvendelse, afklarer I med jeres databeskyttelsesrådgiver. Vi leverer den tekniske dokumentation hertil.

Nej. Sårbarhederne sidder i PHP, altså i det programmeringssprog, som WordPress, Shopware, TYPO3 og mange andre systemer kører på. En opdatering af CMS'et lukker dem derfor ikke. Afgørende er PHP-status på serveren.

Ved shared hosting indspiller som regel hostingudbyderen PHP-opdateringen. I bør dog få skriftligt bekræftet, at den PHP-version, I bruger, er rettet og genstartet. Om der skete noget før rettelsen, besvarer opdateringen ikke.

Navnet beskriver følgen: Via PHP kan en angriber i værste fald få en kommandolinje, altså en shell, på serveren. De officielle betegnelser er CVE-numrene CVE-2026-109618 og CVE-2026-109619.

Ikke nødvendigvis. Nogle udbydere har af forsigtighed taget websites af nettet, som BSI anbefaler, hvis en opdatering ikke er mulig med det samme. Det er en beskyttelsesforanstaltning og ikke et bevis på et angreb.

Det kan være nok, hvis hostingudbyderen skriftligt bekræfter pakkestatus, og alle PHP-processer er blevet genstartet. Det viste versionsnummer alene er ikke noget bevis, fordi distributioner indspiller backports. Om serveren allerede var blevet angrebet før, besvarer en rettelse under alle omstændigheder ikke.

Ikke nødvendigvis. BSI (det tyske forbundsagentur for informationssikkerhed) anbefaler midlertidigt at tage webservere af nettet, hvis opdateringen ikke kan gennemføres med det samme. Om det er nødvendigt hos jer, afgør vi sammen efter opgørelsen.

Nej. PHP2Shell sidder i selve PHP, ikke i CMS'et. En CMS-opdatering er fortsat fornuftig, men lukker ikke denne sårbarhed.

For disse versioner findes der ikke længere officielle opdateringer fra PHP-projektet, kun minimale kildekode-backports til 7.4, 8.0 og 8.1. Vi sikrer serveren midlertidigt og planlægger sammen med jer skiftet til en understøttet version.

Efter art. 33 GDPR fra det tidspunkt, hvor den dataansvarlige fik kendskab til bruddet. Hvornår det skal antages i det enkelte tilfælde, er en juridisk vurdering. Dokumentér derfor nøje, hvornår hvem havde hvilke oplysninger.

Nej. En sårbarhed alene er endnu ikke et brud på beskyttelsen af personoplysninger. Anmeldelsespligt kan opstå, hvis der er tegn på, at uvedkommende havde eller kunne have adgang til sådanne data, og at der deraf opstår en risiko for de registrerede.

Art. 33, stk. 4, GDPR tillader at eftersende oplysninger trinvis, hvis de ikke kan gives på samme tid. En forsinket anmeldelse skal begrundes. At vente på fuld klarhed er derfor som regel ingen grund til at lade fristen udløbe.

Anmeldelsespligtig er den dataansvarlige, altså som regel den virksomhed, der driver websitet. En databehandler som hostingudbyderen skal efter art. 33, stk. 2, GDPR underrette den dataansvarlige uden unødig forsinkelse.

Til den kompetente tilsynsmyndighed for databeskyttelse; for virksomheder i Tyskland er det som regel myndigheden i den delstat, hvor de har hjemsted. De fleste myndigheder tilbyder onlineformularer hertil.