Kort sagt: Om I er berørt af PHP2Shell, afhænger af tre ting: PHP-versionen, driftsformen og af, om og hvordan der er patchet. Er I usikre, så kontakt os nu. Er I berørt? Ring til os. Vi hjælper. Vi afklarer det på afstand på selve serveren, ikke efter fornemmelse, og lukker sårbarheden, hvis den er åben.
Slet intet og opsæt intet på ny nu. Også selv om I blot vil afklare, om I er berørt: Er serveren måske allerede angrebet, har vi brug for filer og logs uændrede. Meld en nødsituation, så gennemgår vi kontrollen sammen.
Er I berørt? Disse tilfælde hører på kontrollisten
PHP2Shell er to kritiske sårbarheder i selve PHP (CVE-2026-109618 og CVE-2026-109619, begge med højeste vurdering 9,2 efter CVSS v4.0). De tillader skadelig kode på afstand uden login. Alle driftsformer kan være berørt: PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Kontrollér hvert af disse systemer:
- egne servere, vServere og root-servere med PHP
- hostingpakker og managed servere, også hvis I ikke har adgang til konfigurationen
- containere og platformtjenester, der medbringer et PHP-image
- testsystemer, staging-miljøer og glemte gamle systemer, som kan nås fra internettet
- NAS, appliances eller software fra tjenesteudbydere, der internt bruger PHP
Netop glemte systemer er risikoen. Ifølge Unit 42 findes der mere end 22,6 millioner eksponerede, potentielt sårbare instanser, og BSI (det tyske forbundsagentur for informationssikkerhed) regnede med hurtig udnyttelse i stor skala.
Hvad I gør med det samme
- Opret en oversigt. Skriv alle servere, domæner og hostingaftaler ned, hvor PHP kører, og hvem der er ansvarlig for dem.
- Fastslå PHP-versionen for hvert system. På servere med
php -v. Bemærk, at kommandolinjen kan bruge en anden version end webserveren. - Afklar driftsformen. Kører PHP som PHP-FPM, som mod_php eller via LiteSpeed? Ved mod_php vurderer PHP-teamet risikoen som højest.
- Spørg hostingudbyder og tjenesteudbydere. Skriftligt: Hvilken version kører, er rettelsen indspillet, er alle processer genstartet?
- Gem logs. Fagpressen anbefaler at bevare logs fra den 20.10.2026.
- Vent ikke for længe. Er et system åbent, og rettelsen ikke straks mulig, anbefaler BSI midlertidigt at tage webserveren af nettet.
Hvordan hjælper PHP SOS konkret?
Vi afklarer, om I er berørt, på afstand og med dokumentation.
- Danne overblik over situationen: Vi lader jer beskrive jeres oversigt og ordner systemerne efter tilgængelighed og risiko.
- Sikre og lukke: Hvor der er åbent, sikrer vi først tilstanden og lukker derefter sårbarheden med opdatering inklusive genstart. Hvor det ikke straks er muligt, sætter vi midlertidige foranstaltninger i værk, som ikke er en fuldstændig beskyttelse.
- Kontrollere og rense: Vi kontrollerer, om sårbarheden blev udnyttet før rettelsen, og renser, hvis det er nødvendigt. Om en server er berørt, og om den måske allerede er angrebet, holder vi klart adskilt.
- Hærde og rapportere: I modtager en liste for hvert system: version, driftsform, patch-dokumentation, åbne punkter.
Sådan dokumenterer I, at I er berørt
Et versionsnummer alene er ikke nok, fordi udbydere bagportér rettelser. Ubuntu 24.04 viser for eksempel ifølge rapporter også efter opdateringen stadig 8.3.6. Tre veje er pålidelige:
| Vej | Hvad den viser | Grænse |
|---|---|---|
| Sammenligne versionen med de rettede versioner | 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller højere er rettet | gælder kun for originale versioner, ikke for backports |
Test på memory_hard_limit_percent |
bool(false) betyder: direktivet er ukendt, altså berørt |
køres for hver version og driftsform for sig |
| Gennemsøge pakkens changelog efter CVE-numre | dokumenterer backports hos distributioner | kilden er udbyderens sikkerhedsarkiv |
Testen ser sådan ud:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Hvordan I kontrollerer version og patch-status korrekt, står på siden Kontrollér PHP-version og patch-status korrekt. Et overblik over grenene giver Hvilke PHP-versioner er berørt?. Hvorfor visningen kan se gammel ud trods rettelse, forklarer indlægget php -v viser et gammelt nummer.
Berørt og ikke længere mulig at patche: PHP 8.1 og ældre
For PHP 8.1 og ældre findes der ikke længere officielle opdateringer fra PHP-projektet, kun minimale kilde-backports til 7.4, 8.0 og 8.1. Den, der bruger sådan en version, har som regel to veje: en udbyder med dokumenteret backport eller migrering til en vedligeholdt version. Der findes kommercielle tilbud om langtidssupport; om og hvornår de dækker PHP2Shell, skal udbyderen bekræfte skriftligt. Vi hjælper med at vurdere det under PHP 8.1 og ældre: Hvad der gælder nu og med gennemførelsen i PHP-patch-servicen.
Hvad I bør sende til os
- Liste over jeres servere, domæner og hostingudbydere
- PHP-version for hvert system, så vidt det er kendt
- Driftsform og webserver, så vidt det er kendt
- Oplysning om, om Cloudflare eller en anden beskyttelse er sat foran, og om oprindelsesserveren er direkte tilgængelig
- Svar fra jeres hostingudbyder, hvis I allerede har spurgt
- Kontaktperson til godkendelser og genstart
Hvorfor PHP SOS
Vi arbejder Made in Germany og har sammen med vores partnernetværk af cyberprofessionelle i over 25 år specialiseret os i it-sikkerhed. I får én kontaktperson, der gennemgår jeres oversigt og dokumenterer hvert udsagn i stedet for blot at aflæse versionsnumre. Vi arbejder på afstand, uden transport, og dokumenterer, hvad vi har kontrolleret. Et udsagn som »sikker« afgiver vi kun, så vidt det kan dokumenteres. Til større miljøer kommer PHP2Shell-akuthjælpen i betragtning.
Er I berørt? Ring til os. Vi hjælper.
Hvis I ikke ved, om I er berørt, er det grund nok til at kontakte os nu. Ring til os eller skriv på WhatsApp. Vi overtager fra den første besked og afklarer det sammen med jer på serveren. Meld en nødsituation nu.
Ofte stillede spørgsmål
Er jeg berørt af PHP2Shell, hvis jeg kun bruger WordPress eller en shop?
Muligvis ja. Sårbarhederne ligger i PHP, ikke i CMS'et. Det afgørende er, hvilken PHP-version og driftsform der faktisk leverer hos jer; en WordPress-opdatering ændrer ikke noget ved det.
Er versionsnummeret nok til at vide, om jeg er patchet?
Ikke altid. Distributioner og hostingudbydere indspiller nogle gange rettelser som backport, og så forbliver nummeret det samme. Udsagnskraftige er pakkens changelog med CVE-numrene eller jeres udbyders skriftlige bekræftelse.
Findes der en hurtig test af, om min PHP-version indeholder rettelsen?
Ifølge PHP-håndbogen er en version, der ikke kender direktivet memory_hard_limit_percent, berørt. Testen skal køres for hver PHP-version og driftsform for sig, da kommandolinjen kan bruge en anden version end webserveren.
Er også ældre PHP-versioner som 7.4 eller 8.0 berørt?
Ifølge fagpressen er næsten alle versioner helt tilbage til PHP 5.4 berørt. For 8.1 og ældre findes der ikke længere officielle opdateringer fra PHP-projektet, kun minimale kilde-backports. Om en udbyder har indspillet dem, skal vedkommende bekræfte.
Beskytter Cloudflare mig, hvis jeg er berørt?
Delvist. Cloudflare har udrullet beskyttelsesregler, men advarer selv om, at de ikke erstatter opdateringen. Hvis jeres oprindelsesserver er direkte tilgængelig, omgås beskyttelsen.