PHP2Shell får regeringar i Europa att stänga webbplatser

Sammanfattning

Regeringar i flera europeiska länder stängde ned webbplatser den 21 oktober 2026 för att skydda dem mot sårbarheterna i PHP2Shell. Det rör sig om två kritiska sårbarheter i PHP (CVE-2026-109618 och CVE-2026-109619) som gör det möjligt för angripare att köra kod på webbservrar utan att logga in. Tyskland, Frankrike, Belgien, Nederländerna, Finland och Tjeckien stängde ner webbplatser, samtidigt som PHP-projektet släppte säkerhetsuppdateringar i versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35. USA:s nationella säkerhetsmyndighet NSA rekommenderade organisationer som inte kunde uppdatera omedelbart att koppla bort systemen från nätet. Samtliga rapporterade nedstängningar beskrivs som förebyggande åtgärder. Enligt Amazon utnyttjas sårbarheterna nu i stor skala..

Regeringssajter från Berlin till Prag

Antalet nedstängningar ökade under onsdagseftermiddagen, enligt en publicerad sammanställning av myndigheternas uttalanden. Tysklands digitaliseringsministerium uppgav att den statliga it-leverantören ITZBund hade tagit flera webbplatser ur drift som ren försiktighetsåtgärd. Inga kända säkerhetsincidenter hade rapporterats. Franska inrikesministeriet stängde webbplatserna för landets prefekturer i väntan på en säkerhetsuppdatering. Belgiens utrikesministerium stängde ned sina webbplatser efter upppgifter om angrepp. Landets cybersäkerhetscenter uppgav att det inte registrerat några angrepp mot belgiska webbplatser.

Den tjeckiska regeringen kopplade ned sina webbplatser klockan 19 lokal tid, på rekommendation av landets cybermyndighet.

I Finland stängde den statliga it-leverantören Valtori statliga webbtjänster och uppgav att den inte sett några försök att utnyttja sårbarheterna.

Nederländerna hade den längsta listan över nedstängningar. Där följde en rad organisationer det nationella cybersäkerhetscentrets exempel. Centret hade stängt ned sin egen webbplats. Rotterdams hamn, myndighetsportalen Overheid.nl, fotbollsförbundet KNVB, de fem största partierna och ett stort antal sjukhus försvann från nätet. Även Japans premiärminister Sanae Takaichi varnade för risken i sociala medier, enligt en annan publicerad uppgift.

Felet kan utnyttjas innan webbplatsens egen kod körs

Den kraftiga reaktionen beror på var i systemet sårbarheten finns. Enligt PHP:s säkerhetsmeddelande är alla installationer som hanterar webbanrop i riskzonen. Det gäller bland annat PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. Med mod_php kan ett oautentiserat anrop utlösa angreppet innan applikationskoden ens startar. Ett härdat publiceringssystem hjälper alltså inte. Bara en uppdatering löser problemet helt, skriver PHP.

Myndigheternas råd var därför tydliga. NSA rekommenderar att system bör tas offline om en omedelbar uppdatering inte är möjlig. CERT-EU, brittiska NCSC och svenska CERT-SE ger liknande råd och rekommenderar att systemen isoleras eller uppdateras.

Förebyggande åtgärder trots pågående angrepp

Ingen regering har rapporterat något intrång i samband med sårbarheterna. Det finns dock rapporter om försök att utnyttja dem. Amazon Threat Intelligence registrerade ett första försök att utnyttja PHP2Shell den 17 oktober, fyra dagar före rättningen. Cloudflare uppger att företaget observerade angreppstrafik riktad mot sina kunder redan före publiceringen av uppdateringen. Nederländska NCSC-NL påpekar att PHP också finns inbyggt i utrutning och administrationsgränssnitt och administratörer inte kan uppdatera på egen hand.

Ingen regering har meddelat när samtliga tjänster väntas var i drift igen. Ingen har heller redovisat hur många organisationer som har drabbats av intrång.

Nästan ett dygn utan säkerhetsuppdatering

Nedstängningar hänger samman med ett problem i processen för samordnad offentliggöring av sårbarheter. Enligt PHP Foundation började CVE-numren spridas omkring 15.00 UTC den 20 oktober. Publiceringen av säkerhetsuppdateringen sköts upp till klockan 14.00 UTC följande dag, i stället för att ske omedelbart, eftersom distributörerna fortfarande arbetade med att paketera rättningen. Under cirka 23 timmar fanns därmed en offentlig varning om sårbarheterna, men ingen färdig säkerhetsuppdatering att installera. . Att stänga ned webbplatsen var det enda sättet att helt eliminera risken för angrepp via den berörda tjänsten under den perioden. Klockan 07.41 UTC den 21 oktober publicerade Chainguard färdiga systemavbilder med säkerhetsuppdateringen inkluderad, mer än sex timmar före den samordnade publiceringen.

Referenser

1. Critical remote code execution vulnerabilities, update now
2. Today’s PHP Security Release, and How We’re Strengthening PHP Security
3. NSA Advisory: PHP Updates
4. Security Advisory 2026-018
5. Critical security issue affecting PHP
6. php2shell vulnerabilities, operational information
7. Kritiska sårbarheter i PHP
8. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
9. Cloudflare deploys protections against php2shell vulnerability

This post is also available in: