Du har förmodligen hört talas om PHP2Shell och hur det nyligen upptäckta säkerhetsproblemet påverkar en enorm mängd hemsidor. Du har kanske också sett varningar om att hemsideägare snabbt måste installera säkerhetsuppdateringar för att åtgärda problemet.
Det låter allvarligt, och det är det också, så det är inte konstigt om du har frågor. Till att börja med, vad är egentligen PHP2Shell och vad påverkas? Vad innebär det för dig som använder en webbläsare i dag? Är det plötsligt osäkert att besöka vissa hemsidor?
I den här artikeln besvarar vi de vanligaste frågorna om PHP2Shell och går igenom det viktigaste du behöver känna till om säkerhetshålet, eller rättare sagt de två säkerhetshålen.
Vad är PHP2Shell?
PHP2Shell är namnet på ett säkerhetsproblem i programmeringsspråket PHP, som används av mängder av hemsidor och webbapplikationer världen över. Faktum är att PHP används av nästan 70 procent av alla hemsidor, enligt uppgifter som återges på Wikipedia. Språket används bland annat i WordPress, Drupal, Joomla och andra vanliga system som driver hemsidor, vilket förklarar varför konsekvenserna kan bli så omfattande.
I praktiken skulle angripare kunna köra skadlig kod på drabbade system, bland annat genom att installera så kallade web shells, och därmed ta kontroll över sårbara servrar.
Sergey Lozhkin, chef för forskningscentret för APAC och META på Kaspersky
PHP2Shell består av två separata minnesrelaterade sårbarheter med beteckningarna CVE-2026-109618 och CVE-2026-109619. Felen i hur PHP fungerar kan utnyttjas av hackare för att ta sig in på hemsidor som använder PHP, vilket alltså gäller en stor del av internet. I värsta fall kan angriparna få möjlighet att köra egen kod på distans.
Det handlar om ett mycket allvarligt säkerhetsproblem och båda sårbarheterna har fått allvarlighetsgraden 9,2 av 10.
Vad händer om en hackare lyckas utnyttja säkerhetshålen på en hemsida?
Sergey Lozhkin, chef för forskningscentret för APAC- och META-regionerna inom Kaspersky GReAT, förklarar för TechRadar:
”De potentiella konsekvenserna är omfattande. Om sårbarheten utnyttjas framgångsrikt kan den möjliggöra fjärrkörning av kod, vilket är en av de allvarligaste formerna av cyberintrång. I praktiken skulle angripare kunna köra skadlig kod på drabbade system, bland annat genom att installera så kallade web shells, och därmed ta kontroll över sårbara servrar.”
Det innebär med andra ord att en hackare skulle kunna köra egen kod och manipulera innehållet på en hemsida i skadliga syften, exempelvis för att stjäla information. Angriparen skulle också kunna omdirigera dig till en falsk hemsida för att försöka lura till sig dina uppgifter genom nätfiske, eller till och med försöka installera skadlig kod direkt på din enhet.
Har PHP2Shell redan utnyttjats av hackare?
Ja, och det som gör situationen särskilt allvarlig är att information om sårbarheterna spreds innan säkerhetsproblemet officiellt tillkännagavs. Som vi rapporterade i går läckte någon ut detaljer om säkerhetshålen på forumet Hacker News innan den planerade publiceringstidpunkten. Det innebar att säkerhetsexperter plötsligt fick betydligt mindre tid än väntat på sig att få skyddsåtgärder på plats.
Det ledde till tidiga försök att utnyttja PHP2Shell. Faktum är att ett av angreppsförsöken ska ha skett redan innan informationen läckte ut, för att inte tala om det officiella tillkännagivandet.
Enligt Amazon Threat Intelligence gjordes ett angreppsförsök redan den 17 oktober, även om det fortfarande är oklart hur angriparen fick tillgång till information om säkerhetshålet innan det offentliggjordes.
Som Malwarebytes påpekar rapporterade även Cloudflares teknikchef Dane Knecht om tidiga attacker, redan innan PHP-teamet hann släppa uppdateringarna som åtgärdar säkerhetshålen.
Amazon Threat Intelligence varnar nu för att ”PHP2Shell utnyttjas i omfattande attacker”.
Är säkerhetshålen åtgärdade nu, och kan jag surfa säkert?
Ja, säkerhetsuppdateringar har släppts för att täppa till säkerhetshålen. PHP-teamet publicerade akuta uppdateringar den 21 oktober för PHP 8.5, 8.4, 8.3 och 8.2. De korrigerade versionerna är 8.5.12, 8.4.27, 8.3.36 och 8.2.35.
Att uppdateringarna finns tillgängliga är däremot bara första steget. Ägarna till de drabbade hemsidorna måste också installera dem. Det kan innebära att de behöver uppdatera PHP själva eller kontakta sitt webbhotell för att säkerställa att uppdateringarna har installerats.
Med tanke på hur brådskande situationen är borde det arbetet redan vara genomfört på många håll. I teorin bör du därför kunna besöka de flesta hemsidor utan problem. Men det finns förstås inga absoluta garantier, vilket är viktigt att ha i åtanke.
Det är också värt att understryka att du som vanlig internetanvändare inte behöver göra något särskilt för att åtgärda just dessa säkerhetshål. Det handlar inte om uppdateringar till din webbläsare, utan om något som hemsideägarna måste hantera.
Om du däremot själv driver en hemsida, exempelvis med WordPress, bör du kontrollera med ditt webbhotell att PHP har uppdaterats till någon av de säkra versionerna som nämns här ovanför.
Vad bör jag tänka på när jag surfar på internet just nu?
Till att börja med kan du stöta på hemsidor som tillfälligt ligger nere för underhåll medan säkerhetsuppdateringarna mot PHP2Shell installeras. Det kan förstås vara irriterande, men det bör vara ett kortvarigt problem och är i grunden något positivt, eftersom uppdateringarna verkligen behöver installeras.
Vid det här laget har de större hemsidor som använder PHP och påverkas av problemet sannolikt redan genomfört uppdateringarna, med tanke på hur brådskande situationen är.
I övrigt kan det vara klokt att vara lite extra försiktig med vilka hemsidor du besöker under resten av veckan. Du bör förstås alltid följa grundläggande säkerhetsråd på internet, men just nu är det särskilt viktigt att vara uppmärksam på sådant som verkar misstänkt.
Var exempelvis extra försiktig om du plötsligt skickas vidare till en annan hemsida eller om något uppenbart misstänkt händer, som att en fil börjar laddas ner utan att du själv har begärt det. Om det inträffar bör du stänga hemsidan och webbläsaren och undvika att besöka sidan igen. Starta sedan ditt antivirusprogram och genomför en genomsökning.
Om möjligt är det också klokt att undvika mindre välunderhållna delar av internet. En särskild risk är hemsidor som fortfarande använder PHP-versioner som inte längre har officiellt stöd, det vill säga PHP 8.1 eller äldre.
Eftersom dessa versioner inte längre stöds får de inte de aktuella säkerhetsuppdateringarna automatiskt. För att åtgärda problemet behöver hemsideägarna uppgradera till en PHP-version som fortfarande stöds.
De som använder PHP 8.1 eller äldre och inte kan genomföra en sådan uppgradering rekommenderas i vissa fall att tillfälligt stänga ned sina hemsidor, eller åtminstone införa tillfälliga skyddsåtgärder, enligt Storbritanniens nationella cybersäkerhetscenter NCSC.
Är AI orsaken till problemet?
Nej, men om du har hört AI nämnas i samband med PHP2Shell beror det på att tekniken numera gör det enklare för cyberkriminella att snabbt utnyttja nyupptäckta säkerhetshål.
Var särskilt försiktig om du plötsligt skickas vidare till en annan hemsida eller om något uppenbart misstänkt händer, som att en fil börjar laddas ner utan att du själv har begärt det.
Amazon Threat Intelligence förklarar:
”Tidigare såg vi att de flesta attacker började först efter att ett offentligt exempel på hur ett säkerhetshål kunde utnyttjas hade publicerats. Ett fåtal skickliga angripare utvecklade attackmetoder och alla andra väntade på dem. Det beroendet håller nu på att minska. AI-assisterad analys gör det billigare och enklare att omvandla skillnaderna mellan kodversioner eller information i en säkerhetsvarning till en fungerande attackmetod. Det innebär att fler angripare kan agera inom några timmar eller till och med minuter efter att tekniska detaljer om en sårbarhet har offentliggjorts.”
Samtidigt används AI också för att försvara system mot cyberattacker. Oron kvarstår dock att tekniken på längre sikt kan göra mer skada än nytta genom att påskynda hur snabbt nya säkerhetshål kan utnyttjas av angripare.