PHP2Shell-angrepp når 22 procent av svenska organisationer

Sammanfattning

Angreppsförsök mot PHP2Shell har nått 22 % av organisationerna i Sverige sedan uppgifter om de två kritiska sårbarheterna i PHP läckte den 20 oktober 2026. Det uppger Check Point Research i en rapport den 22 oktober. Danmark ligger på 32 % och Norge på 13 %. Siffrorna gäller försök och inte bekräftade intrång. Sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det möjligt att köra kod på en webbserver utan inloggning. Officiella rättningar finns bara för PHP 8.2 och senare. Amerikanska CISA uppmanar den som fortfarande kör PHP 8.1 eller äldre att ta systemen offline. Göteborgsbaserade Oderland har uppdaterat sina delade servrar men versionsnumret avslöjar inte att rättningen är på plats.

Oderland uppdaterade alla PHP-versioner ner till 5.2

Klockan 04.05 den 22 oktober meddelade Oderland att samtliga PHP-versioner på bolagets webbhotell, Agency-tjänster och Managed Servers var uppdaterade. Paketen kommer från operativsystemleverantören CloudLinux och omfattar PHP 5.2 till 8.5.

Uppdateringen syns inte i versionsnumret.

CloudLinux har backportat rättningen och därför visar PHP 8.2 på servrarna 8.2.34 och inte 8.2.35, skriver Oderland. Kunder i Oderland Cloud måste uppdatera själva.

Innan paketen fanns aktiverade bolaget ModSecurity-regler i Imunify360. Det stängde också av inställningen session.upload_progress på alla servrar, vilket enligt Oderland ger ett delvis skydd.

Johan Ahlmark vid Försvarets radioanstalt (FRA) beskrev händelsen som allvarligare än genomsnittet, enligt en publicerad rapport.

Danmark och Sverige högt i Check Points mätning

Ungern toppar Check Points lista med 38 %. Därefter kommer Danmark med 32 % och Österrike med 28 %. Sverige delar placering med Rumänien på 22 %. Europa som helhet ligger på 14 %, mer än dubbelt så högt som Nordamerika, Latinamerika och APAC med 6 % vardera.

Telekom är den mest utsatta av 23 branscher med 20 %. Utbildning följer med 18 %. Offentlig sektor ligger på 9 %, finans på 8 % och energi på 6 %, medan bioteknik och läkemedel har lägst andel av samtliga branscher i mätningen med 5 %. Aktiviteten når sin topp vid midnatt.

Check Point räknar en organisation som drabbad när ett PHP2Shell-försök har riktats mot den. Bolaget kan inte säga om försöken lyckats. Någon siffra för Finland redovisas inte och Check Point förklarar inte varför Danmark och Sverige ligger så högt. Myndighetssajterna som stängdes efter läckan beskrev vi i en tidigare artikel.

Över 880 000 servrar saknar officiell rättning

PHP-projektets akutversioner gäller bara grenarna 8.2 till 8.5. PHP 8.1 nådde end of life den 31 december 2025. För 7.4, 8.0 och 8.1 har PHP:s säkerhetsteam enbart publicerat minimala källkodspatchar för den som bygger PHP själv, uppger säkerhetsföretaget Greenbone.

Hur många det gäller framgår av en räkning från säkerhetsföretaget Mallory. Den 20 oktober angav cirka 884 000 internetexponerade servrar PHP 8.1 eller äldre i Shodan. Det motsvarar ungefär 59 % av de 1,5 miljoner som visade någon version. Ytterligare 740 000 visade ingen version alls. Check Point påpekar i sin tekniska analys att det rör sig om bannerdata och inte bekräftat sårbara system.

CISA uppmanade den 21 oktober organisationer som kör PHP 8.1 eller äldre att ta PHP-baserade system offline tills de är åtgärdade. Samma råd gäller den som inte kan uppdatera direkt. Myndigheten varnar också för att PHP ofta ingår i annan programvara utan att synas. Servrar med de rättade versionerna i 8.2 till 8.5 berörs inte. Ingen av sårbarheterna fanns i CISA:s KEV-katalog den 22 oktober, enligt Greenbone.

Versionsnumret 8.2.34 bevisar ingenting längre

Check Point råder administratörer att starta om tjänsterna och kontrollera att den rättade versionen körs. På backportade paket blir den kontrollen missvisande. En uppdaterad server hos Oderland med PHP 8.2 visar 8.2.34, samma version som Check Point angav som aktuell i grenen före rättningen. Skanningar som läser versionsbanners, som Shodan-siffrorna bakom 884 000, kan inte heller skilja dem åt. När PHP2Shell redan har gett angreppsförsök mot 22 % av svenska organisationer bör beviset vara leverantörens skriftliga bekräftelse eller paketets ändringslogg.

Referenser

1. PHP2Shell Update: One in ten organizations impacted as Europe bears the brunt
2. PHP2Shell: Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)
3. Critical Vulnerabilities in PHP Require Immediate Patching
4. Information om php2shell (CVE-2026-109618 & CVE-2026-109619)
5. PHP2Shell Remote Code Execution: Patch PHP Today
6. Publicerad rapport

This post is also available in: