Kritisk säkerhetsuppdatering av PHP: rättelserna är släppta

Uppdaterad 21 oktober kl. 16.15: PHP har nu släppt rättelserna och publicerat detaljerna. Texten nedan är uppdaterad.

PHP:s säkerhetsteam har släppt en kritisk säkerhetsuppdatering som rättar två sårbarheter. Båda har fått betyget 9,2 av 10 (CVSS v4.0) och kan låta en angripare köra egen kod på servern utan att logga in. PHP uppmanar alla att uppdatera omedelbart.

PHP används av de flesta sajter på webben, bland annat WordPress, WooCommerce och Joomla. Därför är det viktigt att uppdateringen kommer på plats snabbt.

Vad gäller sårbarheterna?

CVE-2026-109618: när PHP får slut på minne mitt i hanteringen av en förfrågan kan halvfärdig data behandlas som giltig, vilket kan utnyttjas för att köra kod.
CVE-2026-109619: information från en tidigare förfrågan kan ligga kvar i minnet och användas av nästa förfrågan som samma PHP-process hanterar.

Alla PHP-installationer som tar emot webbtrafik berörs, oavsett om PHP körs via PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP eller LiteSpeed. Risken är störst med mod_php, där en fungerande attack redan har visats upp. Försök att utnyttja sårbarheterna har också redan observerats.

De rättade versionerna är PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. PHP 8.1 och äldre får inga rättelser från PHP, men vissa leverantörer av Linux-distributioner gör egna rättelser även för äldre versioner.

Har du webbhotell eller Managed WordPress hos Admax?

Då sköter vi PHP på servrarna åt dig, och du behöver inte göra något själv. Uppdaterat 22 oktober: sårbarheterna är nu åtgärdade på våra webbhotell, se PHP-sårbarheterna är åtgärdade på våra webbhotell.

Har du en VPS eller egen server?

På en VPS är det du som ansvarar för operativsystemet och PHP. Gör så här:

Ta reda på vilka PHP-versioner som finns på servern, till exempel med php -v. Glöm inte att en server kan ha flera versioner installerade samtidigt.
Uppdatera nu. Linuxdistributionerna har fått rättelserna i förväg. På Debian och Ubuntu: apt update && apt upgrade. På AlmaLinux och Rocky Linux: dnf upgrade. Använder du Remis paketförråd kommer det enligt PHP inga uppdateringar därifrån i dag; byt då till operativsystemets egna paket. Använder du ett annat separat förråd, till exempel Ondřej Surýs, kontrollera att det har fått de rättade versionerna.
Starta om PHP-FPM eller webbservern efter uppdateringen, annars fortsätter den gamla versionen att köras.
Kontrollera versionen igen. Den ska vara 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller senare, eller innehålla din distributions rättelse.

Kan du inte uppdatera direkt kan du minska risken tillfälligt genom att stänga av session.upload_progress.enabled i php.ini eller i PHP-FPM-poolen och sedan starta om PHP. Det gör inte servern säker, och förloppsindikatorer vid uppladdning slutar fungera. Kör servern PHP 8.1 eller äldre bör du planera en uppgradering till en version som stöds. Notera också att PHP 8.2 slutar få säkerhetsuppdateringar 31 december 2026.

Mer information finns i PHP:s säkerhetsmeddelande på php.net.

Behöver du hjälp?

Hör av dig till vår support via ett ärende i kundpanelen eller på kontaktsidan.