Om säkerhetsuppdateringen av PHP i oktober 2026

Vad det handlade om

Det handlade om två allvarliga sårbarheter. Under vissa förutsättningar kunde en utomstående få webbservern att köra sin egen kod, utan att logga in. Sårbarheterna, som fått samlingsnamnet “php2shell” (CVE-2026-109618 och CVE-2026-109619), låg i PHP självt, så det spelade ingen roll hur webbplatsens egen kod såg ut.

Så hanterades det

Förvarningen kom den 20 oktober, bara en dag innan uppdateringen släpptes. Vi såg den direkt och bevakade sedan läget noga, både uppgifterna om att detaljer om sårbarheterna hade läckt ut och de tillfälliga skyddsåtgärder som rekommenderades i väntan på fixen.

De flesta av våra kunders webbplatser driftas hos Oderland. Innan uppdateringen var tillgänglig införde de tillfälliga skydd, bland annat filter som stoppar misstänkt trafik och justerade inställningar i PHP. När uppdateringen sedan kom installerade Oderland den på sina servrar så fort de kunde. För de kunder vars webbplatser driftas på annat håll uppdaterade vi PHP själva.

Några kunder beslutade i samråd med oss att tillfälligt stänga ner sina webbplatser i väntan på uppdateringen för att inte riskera att bli hackade.

Behöver ni göra något?

Inte om vi sköter förvaltningen eller driften åt er. Alla våra kunders servrar har fått uppdateringen.

Så jobbar vi med säkerhet till vardags

• Säkerhetsmeddelanden för de plattformar och ramverk vi använder når oss automatiskt, och vi ser direkt vilka kunders lösningar som berörs.
• Kritiska sårbarheter åtgärdar vi direkt. Övriga uppdateringar gör vi i vårt kontinuerliga underhållsarbete.
• Vi övervakar också att webbplatserna är uppe och får larm om någon går ner.
• För projekt som har högre krav på säkerhet samarbetar vi med säkerhetsexperter som bland annat gör penetrationstester på våra lösningar.

Vad vi tar med oss

Det vi vill bli bättre på är kommunikationen. Vi följde utvecklingen från första stund, men vi kommunicerade inte det. Det kan ha skapat onödig oro. Redan dagen innan uppdateringen släpptes hade vi kunnat höra av oss till er.

Nästa gång hör vi av oss direkt när förvarningen kommer och berättar hur vi planerar att agera. När arbetet är klart skickar vi en kort bekräftelse.

Har ni frågor om det här eller vårt säkerhetsarbete generellt? Hör av er till er kontaktperson hos oss eller till hej@kodamera.se. Tekniska detaljer om sårbarheterna finns i PHP-projektets egen säkerhetsinformation (öppnas i nytt fönster).