Två sårbarheter kommer att offentliggöras av utvecklarna av serverskriptspråket PHP, som utgör grunden för en stor del av webbtekniken på internet. Följande CVE-nummer har tillhandahållits, dock med begränsad teknisk information och utan bekräftelse från kärnutvecklarna om vilka versioner som berörs.

• CVE-2026-109618
• CVE-2026-109619

Efter tillkännagivandet och offentliggörandet av sårbarheternas allvarlighetsgrad började säkerhetsforskare, såsom WatchTowr, att undersöka och tillhandahålla detaljer om den kommande säkerhetsuppdateringen.

Detta innebar bland annat att sårbarheterna är sårbarheter för fjärrkörning av kod med allvarliga konsekvenser – fjärrkörning av kod i ett brett spektrum av versioner från PHP5 och framåt. Med tanke på att tekniken används i applikationer som är anslutna till internet innebär detta en hög risk för fjärrutnyttjande. Det är värt att notera att WatchTowr inte tror att sårbarheten utnyttjas i skrivande stund.

De system som löper störst risk är alla system som använder PHP. Det handlar om ett brett spektrum av tekniker, däribland WordPress, Joomla och Magento, som redan är kända för att utnyttjas i stor utsträckning.

I skrivande stund kommer den kommande utgåvan av säkerhetsuppdateringen att skapa en kapplöpning mellan hotaktörer och systemadministratörer om att installera uppdateringen innan exploateringsmetoder hinner utvecklas och användas. Enligt rapporter finns det redan fungerande proof-of-concept-exploater tillgängliga, och därför uppges vissa systemadministratörer stänga ner webbplatser tillfälligt tills patchen släpps. System med version 8.1 eller lägre kommer inte att få patchen.

Om du hanterar något system som använder PHP i din organisations miljö rekommenderar vi att du kontaktar Integrity360 för råd och support.

Uppdatering: Kritisk sårbarhet i ett brett spektrum av PHP-versioner ska åtgärdas 2026-10-21

Två sårbarheter har nyligen identifierats i PHP, ett allmänt använt skriptspråk på serversidan som utgör en viktig komponent i många webbapplikationer. PHP har sedan dess släppt säkerhetsuppdateringar för att åtgärda dessa problem. Följande CVE-identifierare är kopplade till sårbarheterna.

Information från utvecklarna visar att de två sårbarheterna, som listas nedan, avser korruption vid minnesbrist och sårbarheter i föråldrade globala tillstånd.

• CVE-2026-109618: Hanteringen av minnesbrist kan avbryta PHP medan interna begärandedata endast är delvis initialiserade. Rensningen av begäranden kan då behandla de ogiltiga uppgifterna som giltiga.
• CVE-2026-109619: Internt tillstånd som tillhör en begäran kan kvarstå efter att det underliggande minnet har frigjorts. En senare begäran som hanteras av samma arbetare kan använda det föråldrade tillståndet innan den normala initialiseringen återställer det.

Publiceringen av korrigeringen för versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35 är, enligt utvecklarna, den enda fullständiga lösningen för att åtgärda sårbarheten. Linux-distributioner har fått patcharna i förväg, medan äldre versioner, inklusive PHP 8.1 och tidigare, inte kommer att få patchen.

PHP-utvecklarna uppgav att”alla PHP-installationer som hanterar webbförfrågningar, inklusive PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. Vi anser att risken är högst för mod_php, där det finns en bevisad sårbarhet där en icke-autentiserad förfrågan kan utlösa attacken innan någon applikationskod körs.” De system som löper störst risk är alla system som använder PHP. Det handlar om ett brett spektrum av tekniker, däribland WordPress, Joomla och Magento, som redan är kända för att utnyttjas i stor utsträckning.

I skrivande stund har säkerhetsuppdateringen släppts, och webbplatsansvariga uppmanas nu att omedelbart uppdatera alla installationer. Enligt rapporter finns redan fungerande proof-of-concept-exploater tillgängliga, och därför uppges vissa systemadministratörer stänga ner webbplatser tillfälligt tills säkerhetsuppdateringen har släppts.

Organisationer som inte kan installera de relevanta säkerhetsuppdateringarna för PHP omedelbart bör överväga att tillfälligt ta drabbade internetanslutna applikationer ur drift tills uppdateringen kan slutföras. Att fortsätta driva sårbara system kan utsätta dem för intrång, särskilt där PHP är direkt tillgängligt för icke-autentiserade användare.

Integrity360 kommer att följa lanseringen av säkerhetsuppdateringen och tillhandahålla ytterligare information allteftersom utvecklingen kring denna kritiska sårbarhet fortskrider.

Om du hanterar något system som använder PHP i din organisations miljö rekommenderar vi att du kontaktar Integrity360 för råd och support.