Þann 21. október gaf PHP út neyðaruppfærslur vegna tveggja alvarlegra veikleika sem kallaðir hafa verið PHP2Shell (CVE-2026-109618 og CVE-2026-109619). Báðir veikleikarnir eru í virkri misnotkun og komnir á KEV-lista CISA yfir misnotaða veikleika.
CERT-IS hvetur rekstraraðila til að uppfæra þau kerfi sem byggð eru á PHP strax og kanna hvort merki séu um innbrot.
PHP
Misnotkun á veikleikunum getur gert óauðkenndum ógnaraðila kleift að fjarkeyra kóða (e. remote code execution) á vefþjónum sem keyra PHP. Veikleikarnir eru í PHP sjálfu en ekki í vefkerfum sem byggja á því. Því dugar ekki að uppfæra til dæmis WordPress, Drupal eða Joomla, heldur þarf að uppfæra PHP.
Allar PHP-uppsetningar sem svara vefbeiðnum eru berskjaldaðar, þar á meðal PHP-FPM, Apache með mod_php, php-cgi, og LiteSpeed.
– CVE-2026-109618 stafar af villu í meðhöndlun á minnisþurrð (e. out-of-memory).
– CVE-2026-109619 stafar af því að innri staða getur vísað á minni sem búið er að losa (e. use-after-free) en slíkar villur geta leitt til innspýtingu kóða (e. code injection).
Veikleikarnir eru til staðar í eftirfarandi útgáfum:
ÚtgáfaÚtgáfa með veikleikaLagfært í
| PHP 8.5 | Eldri en 8.5.11 | 8.5.12 |
| PHP 8.4 | Eldri en 8.4.26 | 8.4.27 |
| PHP 8.3 | Eldri en 8.3.35 | 8.3.36 |
| PHP 8.2 | Eldri en 8.2.34 | 8.2.35 |
| PHP 8.1 og eldri | Allar | Engin opinber uppfærsla |
PHP 8.1 og eldri útgáfur fá ekki lengur öryggisuppfærslur frá PHP. Rekstraraðilar þeirra þurfa að uppfæra í studda útgáfu eða nota lagfæringar frá dreifingaraðila (e. backport).
Tilvísanir
[1] https://www.php.net/archive/2026.php#2026-10-21-5
[2] https://github.com/NCSC-NL/php2shell/wiki
[3] https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-109618
[4] https://security.paloaltonetworks.com/CVE-2026-109618