Alvorlige sårbarheter i PHP: dette betyr det for nettsiden din
To kritiske sårbarheter i PHP (CVE-2026-109618 og CVE-2026-109619) kan i verste fall la en angriper kjøre egen kode på serveren, uten at det trengs en svakhet i WordPress eller en utvidelse. Alle Fjordweb-servere er allerede sikret med en midlertidig løsning, og vi installerer den endelige rettingen så snart den er klar.
Hva har skjedd?
PHP er programmeringsspråket som WordPress, WooCommerce og mange andre nettsider kjører på. PHP-teamet har varslet en ekstraordinær sikkerhetsoppdatering for to sårbarheter med alvorlighetsgrad 9,2 av 10.
Sårbarhetene gjelder funksjonen som viser fremdrift når filer lastes opp (session upload progress). Uavhengige forskere har allerede publisert tekniske detaljer og eksempelkode. Derfor regner vi med at angripere raskt vil begynne å lete etter sårbare nettsider.
Hvem er berørt?
Alle nettsider som kjører på PHP, kan være berørt, uansett om de bruker WordPress eller noe annet. Det som gjør saken alvorlig, er at feilen ligger i PHP selv. Sikkerhetsutvidelser i WordPress kan derfor ikke stoppe den.
Det betyr ikke at nettsiden din er angrepet. Det finnes ingen tegn på at alle PHP-sider er rammet, og en sårbarhet er ikke det samme som et innbrudd. Men det er viktig å handle raskt.
Hva har Fjordweb gjort?
- Midlertidig sikring er på plass. Vi har oppdatert alle våre servere til Enhance 12.26.1. Den slår av funksjonen som sårbarhetene utnytter. Vanlig opplasting av bilder og filer virker som før.
- Hver nettside er isolert. Sidene våre kjører i egne containere. Selv om én side skulle bli angrepet, når ikke angriperen de andre sidene på serveren.
- Den endelige rettingen installeres så snart den kommer. PHP slipper oppdateringen 21. oktober kl. 16:00 norsk tid, og nye pakker kommer rett etter. Vi installerer dem på alle servere med en gang.
Har du vedlikeholdsavtale hos oss, trenger du ikke gjøre noe.
Hva bør du gjøre hvis nettsiden ligger et annet sted?
- Spør leverandøren din om de har slått av
session.upload_progress.enabledog når de oppdaterer PHP. - Sjekk hvilken PHP-versjon siden bruker. Versjoner eldre enn 8.2 får sannsynligvis ingen retting. Da bør siden flyttes til en nyere versjon.
- Oppdater PHP så snart den nye versjonen er tilgjengelig. Den midlertidige sikringen erstatter ikke oppdateringen.
Usikker på hvordan det står til med din nettside? Ta en gratis sikkerhetssjekk. Den sjekker blant annet om siden viser hvilken programvare og versjon den kjører. Eller ta kontakt, så hjelper vi deg.
Kilder
- PHP: varsel om kritisk sikkerhetsoppdatering (php.net)
- Enhance: «Enhance 12.26.1 and PHP CVE-2026-109618 or CVE-2026-109619» (community.enhance.com)
- Press Wizards: «Critical PHP Vulnerabilities: What Website Owners Need to Know and Do Now»