<?php Uafhængigt PHP-sikkerhedstjek
Er din PHP berørt af PHP2Shell?
To kritiske fejl i selve PHP giver mulighed for remote code execution. De blev rettet den 21. oktober 2026. Tjek, hvad et website afslører om sin PHP-version, eller indsæt en versionsstreng — og se præcis, hvad du skal gøre.
- Passivt: én almindelig forespørgsel, intet exploit
- Gratis, uden tilmelding, uden reklamer
- Baseret på php.net og de officielle advisories
2Tjek en version
Vurderes i din browser — intet sendes til os. Én version pr. linje, op til 20.
01 · php.net · 2026-10-23
Rettede versioner
| Gren | Rettet i | Grenens status |
|---|---|---|
| PHP 8.5 | 8.5.12 | Aktivt understøttet |
| PHP 8.4 | 8.4.27 | Aktivt understøttet |
| PHP 8.3 | 8.3.36 | Kun sikkerhedsrettelser |
| PHP 8.2 | 8.2.35 | Kun sikkerhedsrettelser — end of life 31. dec. 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Ingen officiel udgivelse | End of life — ingen udgivelse fra PHP-projektet |
Kilde: sikkerhedsmeddelelse fra php.net, 21. oktober 2026. Senest verificeret 2026-10-23.
Hvad er PHP2Shell?
PHP2Shell er det navn, forskere har givet to sårbarheder i PHP-motoren: CVE-2026-109618 (hukommelseskorruption, når PHP løber tør for hukommelse under parsing af en forespørgsel) og CVE-2026-109619 (intern tilstand, der overlever fra én forespørgsel til den næste på samme worker). Begge har CVSS v4.0-score 9.2.
En angriber uden autentificering kan køre kode på serveren eller læse PHP-processens hukommelse — herunder adgangskoder, sessionstokens, API-nøgler og certifikater fra andre forespørgsler — uden at køre nogen kode overhovedet. Ifølge php.net berører de PHP, der håndterer webforespørgsler: PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Forskerne demonstrerede angreb på WordPress, Drupal og Joomla, men der kræves ingen bestemt applikation: selv en simpel »Hello World«-side på en berørt PHP er eksponeret.
Hvad du skal gøre nu
- Opdater til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 — eller din distributions patchede pakke.
- Genstart alle PHP-processer: PHP-FPM, Apache, queue workers, containere. En opdatering er ikke aktiv før da.
- Tjek hver PHP på serveren — paneler installerer ofte flere versioner side om side.
02 · shell
Tjek på selve serveren
Et tjek af websitet ser kun det, serveren vælger at afsløre. På serveren giver disse kommandoer det rigtige svar:
# version af standard-PHP
php -v
# andre PHP-versioner installeret af paneler eller pakker
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# indstillinger relateret til de delvise afhjælpninger
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# hvad dit website afslører over for besøgende
curl -sI https://dit-website.dk/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Almindelige spørgsmål
Hvilke PHP-versioner er berørt?
Alle versioner før 8.5.12, 8.4.27, 8.3.36 og 8.2.35 i de understøttede grene. PHP 8.1 og ældre er end of life og får ingen udgivelse fra PHP-projektet; betragt dem som berørte, medmindre din leverandør bekræfter en backportet rettelse.
Mit website viser ingen PHP-version. Er jeg sikker?
Ikke nødvendigvis. At skjule versionen (expose_php = Off) er god praksis, men patcher ikke noget. Tjek på serveren med php -v, eller spørg din udbyder.
Værktøjet viser en gammel version, men min host siger, at den er patchet. Hvem har ret?
Måske begge. Linux-distributioner som Debian, Ubuntu og RHEL backporter ofte sikkerhedsrettelser uden at ændre versionsnummeret. Spørg din host, hvilket pakkebuild der er installeret, og om dets changelog nævner CVE-2026-109618 og CVE-2026-109619.
Er WordPress, Laravel eller mit CMS berørt?
Fejlene sidder i selve PHP, så enhver applikation, der kører på en berørt PHP, er eksponeret. Forskerne demonstrerede angreb uden autentificering på WordPress, Drupal og Joomla, men det var kun eksempler — selv en almindelig »Hello World«-side er nok. At opdatere WordPress eller plugins løser det ikke; PHP skal opdateres.
Kan data lække, selv om der ikke blev kørt kode?
Ja. CVE-2026-109619 kan afsløre PHP-processens hukommelse — adgangskoder, sessionstokens, API-nøgler og certifikater fra andre forespørgsler — uden at angriberen kører kode. Sådanne læk efterlader ingen filer og er svære at opdage, så skift hemmelighederne for ethvert website, der har kørt en berørt version på internettet.