Kort sagt: En vecka efter det första observerade angreppsförsöket är PHP2Shell aktuellt framför allt en fråga om genomförande: patchar för PHP 8.2 till 8.5 finns sedan den 21 oktober, stora distributioner har följt efter, BSI varnar med nivå orange. Angreppsförsök har observerats, bekräftade lyckade angrepp i bred skala meddelade BSI inledningsvis inte. Öppna förblir äldre versioner, servrar som inte startats om och frågan om vad som hände före patchen.
Läget i tre meningar
PHP2Shell är två kritiska sårbarheter i själva PHP-tolken, CVE-2026-109618 och CVE-2026-109619, vardera bedömd med CVSS v4.0 9,2. De tillåter kodkörning på distans utan inloggning, alltså det fall som säkerhetsfolk fruktar mest. Berörda är PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed; den högsta risken ser PHP-teamet vid mod_php.
Den här översikten ordnar läget den 25 oktober 2026 efter aktörer. Förloppet dag för dag hittar ni i PHP2Shell-kronologin, här handlar det om helhetsbilden.
Vad som är belagt efter en vecka
Säkra är PHP-projektets uppgifter: releaserna 8.5.12, 8.4.27, 8.3.36 och 8.2.35 från den 21 oktober stänger båda sårbarheterna. För PHP 7.4, 8.0 och 8.1 finns bara minimala backports i källkoden, inga officiella releaser. php.net betonar att det inte finns några fullständiga tillfälliga åtgärder och att uppdateringen är den enda säkra vägen.
Den 23 oktober tillkom ett meddelande om CVE-2026-115560. Det gäller bara en ovanlig sessionskonfiguration; som åtgärd nämner php.net session.upload_progress.enabled=0 fram till nästa reguljära buggfixrelease.
Även de stora distributionerna har tagit ställning. Vi har granskat de officiella meddelandena:
| Leverantör | Läge enligt officiellt meddelande |
|---|---|
| Ubuntu | USN-8948-1 för 22.04, 24.04, 26.04 och 26.10; USN-8948-2 för 14.04 till 20.04 via Ubuntu Pro |
| Debian | Rättade paket för bookworm (php8.2, DLA-4848-1) och trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 för RHEL 7 till 10; vissa uppdateringar tillgängliga, fler under arbete |
Red Hat klassar CVE-2026-109618 med egen bedömning som ”Important” och motiverar det med högre angreppskomplexitet. Det är en annan bedömningsmetod än PHP-projektets och inget skäl att skjuta upp uppdateringen.
Hur myndigheter bedömer läget
BSI har utlyst varningsnivå 3 / orange. Myndigheten rekommenderar omedelbar uppdatering och, om det inte går direkt, att tillfälligt ta berörda webbservrar offline. BSI räknade med snabbt storskaligt utnyttjande. Vad klassningen betyder förklarar sidan Vad BSI rekommenderar om PHP2Shell.
Enligt rapporter anser CERT-EU (EU-institutionernas CERT) det möjligt att versioner från PHP 5 är berörda och rekommenderar att isolera publikt nåbara applikationer om de inte kan patchas i närtid. CERT-Bund (den tyska federala förvaltningens CERT) och säkerhetsföretaget Huntress har likaså varnat.
Rekommendationen att vid behov stänga av har synligt genomförts. Enligt mediarapporter tog staden Mainz sitt centrala webbportal offline som försiktighetsåtgärd; förvaltningarna förblev nåbara via telefon och e-post. I Hessen var enligt hessenschau delstatsregeringens sidor, BKA:s (den tyska federala kriminalpolisen) sidor samt städerna Kassels och Wiesbadens sidor tillfälligt offline. Delstatskansliet meddelade inget angrepp, sidorna var nåbara igen på kvällen. Ytterligare kommuner, högskolor och sjukhus agerade enligt rapporter liknande.
Vad som är känt om angrepp
Här är åtskillnaden mellan observation och bekräftelse särskilt viktig.
- Observerat: Enligt mediarapporter fanns den 17 oktober ett första angreppsförsök som Amazon observerade. Cloudflare och Patchstack rapporterade om angreppsförsök; Cloudflare såg dessutom ändrade angreppsmönster.
- Återskapat: watchTowr har enligt rapporter och egna uppgifter återskapat CVE-2026-109618.
- Inte bekräftat: BSI meddelade inledningsvis inga bekräftade lyckade utnyttjanden i bred skala. Huntress såg vid tidpunkten för sin rapport inga angrepp i partnermiljöer.
- Okänt: Det finns inga publicerade, bekräftade Indicators of Compromise. Den som vill kontrollera om en server är berörd måste titta efter beteendemönster.
Om omfattningen cirkulerar två siffror. Forskarna vid Unit 42 hos Palo Alto Networks kom fram till över 22,6 miljoner potentiellt sårbara instanser som är nåbara från nätet. CybelAngel anger cirka 2,24 miljoner nåbara PHP-värdar, varav enligt egen utvärdering 59 procent på versioner utan kommande officiell rättning. Båda mäter olika saker och är inte direkt jämförbara. En bedömning ger inlägget Sätt siffrorna i rätt perspektiv.
Vad som är öppet
Tre frågor avgör de närmaste veckorna:
- Äldre versioner: En stor del av de nåbara PHP-installationerna körs enligt de nämnda utvärderingarna på grenar utan officiell rättning. Om kommersiella långtidserbjudanden täcker PHP2Shell måste i varje fall bekräftas skriftligt hos leverantören.
- Ofullständiga uppdateringar: Nya paket verkar först när alla PHP-processer har startats om. Red Hat påpekar uttryckligen att en enkel omladdning inte räcker.
- Tiden före patchen: Mellan den 17 och 21 oktober var servrar sårbara medan angreppsförsök redan pågick. En patch bevisar inte att inget hände under den tiden.
Spara webbserver- och PHP-loggar från och med den 20 oktober, som facktidningarna rekommenderar. Utan loggar går den viktigaste öppna frågan för er server inte att besvara senare.
Vad driftansvariga bör kontrollera nu
För den egna lägesbedömningen räcker fyra kontrollpunkter per server: Är PHP på en åtgärdad nivå eller en bekräftad backport? Har alla processer körts sedan uppdateringen? Är session.upload_progress.enabled avstängt på serversidan så länge advisoryt för CVE-2026-115560 återstår? Finns det avvikelser sedan den 17 oktober?
För den sista punkten hjälper sidan Har vi redan komprometterats?. En webbserverprocess som startar ett skal, nya PHP-filer i uppladdningsmappar, okända cronjobb eller SSH-nycklar är varningssignaler som motiverar en närmare undersökning.
Hur hjälper PHP SOS konkret?
- Vi bedömer patchnivån för varje server utifrån paketnivå, changelog och processernas starttider.
- Där ingen patch finns tillgänglig sätter vi php.nets tillfälliga åtgärder och klargör vägen till en version med support.
- Vi säkrar loggar från och med den 20 oktober och söker efter spår från tiden före patchen.
- Med PHP2Shell-akuthjälpen samlar vi de här stegen för företag som snabbt behöver klarhet.
Vanliga frågor
Utnyttjas PHP2Shell redan aktivt?
Cloudflare och Patchstack rapporterade om angreppsförsök. Bekräftade lyckade angrepp i bred skala meddelade BSI (den tyska federala myndigheten för informationssäkerhet) inledningsvis inte. Huntress såg vid tidpunkten för sin rapport inga angrepp i partnermiljöer.
Är faran över efter patcharna?
Nej. Patcharna skyddar bara servrar som har installerat dem och startat om alla PHP-processer. System på PHP 8.1 och äldre förblir utan bekräftad backport sårbara, och en patch tar inte bort skadlig programvara som tidigare smugits in.
Varför var myndigheters webbplatser offline?
Enligt mediarapporter har bland andra staden Mainz och flera instanser i Hessen stängt av sina webbplatser som försiktighetsåtgärd. Det motsvarar BSI:s rekommendation för servrar som inte kan uppdateras direkt. En avstängning betyder inte att ett angrepp har skett.
Finns det kännetecken för ett PHP2Shell-angrepp?
Publicerade, bekräftade Indicators of Compromise finns hittills inte. Upptäckten bygger på beteendeanalys, till exempel PHP-processer som startar ett skal eller nya PHP-filer i uppladdningsmappar.