PHP2Shell får regeringar i Europa att stänga webbplatser

Sammanfattning

Regeringar i flera europeiska länder stängde webbplatser den 21 oktober 2026 för att skydda dem mot PHP2Shell, två kritiska sårbarheter i PHP (CVE-2026-109618 och CVE-2026-109619) som låter en angripare köra kod på webbservrar utan att logga in. Tyskland, Frankrike, Belgien, Nederländerna, Finland och Tjeckien drog ned sajter medan PHP-projektet släppte rättade versioner: 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Amerikanska NSA rådde verksamheter som inte kan uppdatera direkt att ta systemen offline. Samtliga rapporterade nedstängningar beskrivs som förebyggande. Enligt Amazon utnyttjas sårbarheterna nu brett.

Regeringssajter Från Berlin Till Prag

Listan växte under onsdagseftermiddagen, enligt en publicerad sammanställning av myndigheternas uttalanden. Tysklands digitaliseringsministerium uppgav att den statliga it-leverantören ITZBund tagit flera webbplatser ur drift som ren försiktighetsåtgärd och att inga säkerhetsincidenter var kända. Franska inrikesministeriet stängde prefekturernas webbplatser i väntan på en rättning. Belgiens utrikesministerium drog ned sina sajter efter rapporter om angrepp. Landets cybersäkerhetscenter uppgav att det inte registrerat några angrepp mot belgiska webbplatser.

Den tjeckiska regeringen gick offline klockan 19 lokal tid på råd från landets cybermyndighet.

I Finland stängde statens it-central Valtori statliga webbtjänster och uppgav att den inte sett några försök att utnyttja sårbarheterna.

Längst var listan i Nederländerna. Där följde en rad organisationer exemplet från det nationella cybersäkerhetscentret, som stängde sin egen webbplats. Rotterdams hamn, myndighetsportalen Overheid.nl, fotbollsförbundet KNVB, de fem största partierna och många sjukhus försvann från nätet. Även Japans premiärminister Sanae Takaichi varnade för risken i sociala medier, enligt en annan publicerad uppgift.

Felet Slår Till Innan Sajtens Egen Kod Körs

Att reaktionen blev så kraftig hänger ihop med var felet sitter. Enligt PHP:s säkerhetsmeddelande är alla installationer som hanterar webbanrop i riskzonen, bland annat PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. Med mod_php kan ett oautentiserat anrop utlösa angreppet innan applikationskoden ens startar. Ett härdat publiceringssystem hjälper alltså inte. Bara en uppdatering löser problemet helt, skriver PHP.

Myndigheternas råd blev därefter. NSA skriver att system bör tas offline om en omedelbar uppdatering inte är möjlig. CERT-EU, brittiska NCSC och svenska CERT-SE ger liknande råd om att isolera eller uppdatera.

Försiktighet Mot Verkliga Angrepp

Ingen regering har rapporterat något intrång. Angreppen finns ändå. Amazon Threat Intelligence registrerade ett första försök att utnyttja PHP2Shell den 17 oktober, fyra dagar före rättningen. Cloudflare uppger att det såg angreppstrafik mot sina kunder redan före releasen. Nederländska NCSC-NL påpekar att PHP också finns inbyggt i apparater och administrationsgränssnitt som administratörer inte kan uppdatera själva.

Ingen regering har angett när alla tjänster är tillbaka och ingen har redovisat hur många organisationer som drabbats av intrång.

Ett Dygn Utan Patch

Nedstängningarna går tillbaka till en avslöjandeprocess som sprack. Enligt PHP Foundation började CVE-numren spridas omkring 15.00 UTC den 20 oktober. Releasen flyttades till 14.00 UTC dagen därpå i stället för att ske direkt, eftersom distributörerna fortfarande paketerade rättningen. I ungefär 23 timmar fanns alltså en offentlig varning men ingen patch att installera. Att stänga sajten var det enda fullständiga skyddet. Klockan 07.41 UTC den 21 oktober publicerade Chainguard färdiga avbilder med rättningen, mer än sex timmar före den samordnade releasen.

Referenser

1. Critical remote code execution vulnerabilities, update now
2. Today’s PHP Security Release, and How We’re Strengthening PHP Security
3. NSA Advisory: PHP Updates
4. Security Advisory 2026-018
5. Critical security issue affecting PHP
6. php2shell vulnerabilities, operational information
7. Kritiska sårbarheter i PHP
8. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
9. Cloudflare deploys protections against php2shell vulnerability

This post is also available in: