Vanliga frågor

PHP2Shell är namnet på två kritiska sårbarheter i själva PHP (CVE-2026-109618 och CVE-2026-109619, CVSS 9,2). De kan göra det möjligt för angripare att köra skadlig kod på servern utan inloggning. Patchar finns sedan den 21 oktober 2026.

Rättningarna finns i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Webbhotell och distributioner levererar ibland backports utan att ändra versionsnumret. Det avgörande är paketets status eller leverantörens skriftliga bekräftelse.

Nej. Sårbarheten finns i PHP, inte i CMS:et. En CMS-uppdatering stänger den inte. Och en PHP-patch tar inte bort skadlig kod som redan har förts in tidigare.

Vi arbetar på distans och startar så snart åtkomsten finns på plats. Skriv till oss via WhatsApp med system, PHP-version och vad ni har observerat. Då går vi igenom tillvägagångssättet direkt.

Ja. Vi arbetar direkt för företag, i bakgrunden på uppdrag av byråer och i samråd med ert webbhotell om det är webbhotellet som sköter servern.

Om personuppgifter kan ha påverkats gäller enligt art. 33 GDPR i regel en anmälningsfrist på 72 timmar från det att ni fått kännedom. Om den gäller i ert fall klarar ni ut med ert dataskyddsombud. Vi levererar den tekniska dokumentationen till det.

Nej. Sårbarheterna finns i PHP, alltså i det programmeringsspråk som WordPress, Shopware, TYPO3 och många andra system körs på. En uppdatering av CMS:et stänger dem därför inte. Avgörande är PHP-versionen på servern.

Vid delat webbhotell installerar i regel webbhotellet PHP-uppdateringen. Ni bör ändå låta er skriftligen bekräfta att den PHP-version ni använder har patchats och startats om. Om något hände före patchen besvarar uppdateringen inte.

Namnet beskriver följden: Via PHP kan en angripare i värsta fall få en kommandorad, alltså ett skal, på servern. Officiella beteckningar är CVE-numren CVE-2026-109618 och CVE-2026-109619.

Inte nödvändigtvis. Några leverantörer har försiktighetsvis tagit webbplatser från nätet, som BSI rekommenderar när en uppdatering inte är möjlig genast. Det är en skyddsåtgärd och inget belägg för ett angrepp.

Det kan räcka om webbhotellet skriftligen bekräftar paketstatusen och alla PHP-processer har startats om. Det visade versionsnumret ensamt är inget belägg, eftersom distributioner levererar backports. Om servern redan hade angripits före patchen besvarar en patch ändå inte.

Inte nödvändigtvis. BSI rekommenderar att tillfälligt ta webbservrar från nätet om uppdateringen inte är möjlig genast. Om det är nödvändigt hos er avgör vi tillsammans efter inventeringen.

Nej. PHP2Shell finns i PHP självt, inte i CMS:et. En CMS-uppdatering är fortfarande meningsfull men stänger inte den här sårbarheten.

För dessa versioner finns inga officiella uppdateringar längre från PHP-projektet, bara minimala backports i källkoden för 7.4, 8.0 och 8.1. Vi skyddar servern under övergången och planerar tillsammans med er omstigningen till en version med support.

Enligt art. 33 GDPR från den tidpunkt då den personuppgiftsansvarige fick kännedom om överträdelsen. När det kan anses ha skett i det enskilda fallet är en juridisk bedömning. Dokumentera därför exakt när vem hade vilken information.

Nej. En sårbarhet ensam är ännu ingen överträdelse av skyddet för personuppgifter. Anmälningsplikt kan uppstå om det finns tecken på att obehöriga hade eller kunde ha haft tillgång till sådana uppgifter och en risk för de registrerade därmed uppstår.

Art. 33.4 GDPR tillåter att information lämnas stegvis om den inte kan tillhandahållas samtidigt. En försenad anmälan ska motiveras. Att vänta på fullständig klarhet är därför i regel ingen anledning att låta fristen löpa ut.

Anmälningsskyldig är den personuppgiftsansvarige, alltså i regel det företag som driver webbplatsen. Ett personuppgiftsbiträde som webbhotellet måste enligt art. 33.2 GDPR informera den personuppgiftsansvarige utan onödigt dröjsmål.

Hos den behöriga tillsynsmyndigheten för dataskydd, i Sverige Integritetsskyddsmyndigheten (IMY). Företag i andra länder anmäler till respektive lands myndighet. De flesta myndigheter erbjuder onlineformulär för detta.