Der er offentliggjort to kritiske sårbarheder i PHP, CVE-2026-109618 og CVE-2026-109619, samlet omtalt som PHP2Shell. Under visse omstændigheder kan sårbarhederne udnyttes via særligt udformede HTTP-forespørgsler til at opnå remote code execution (RCE), dvs. fjernkørsel af kode på serveren. Udnyttelse kan dermed potentielt kompromittere det berørte system.
Vi har siden formiddagen onsdag d. 21-10-2026 haft en mitigering på plads via Imunifys WAF-regelsæt, som blokerer kendte exploit-mønstre.
Vi overvåger fortsat situationen og arbejder på at opdatere vores PHP-builds, så snart de relevante, patchede CloudLinux-pakker er tilgængelige. CloudLinux arbejder desuden på at backporte sikkerhedsrettelserne til ældre PHP-versioner via HardenedPHP, så også versioner, der ikke længere vedligeholdes upstream, kan få adgang til rettelserne.
Vi følger udviklingen tæt og implementerer de permanente sikkerhedsrettelser, så snart de relevante pakker er tilgængelige.
Uddybende information:
PHP er patchet på vores servere, men sikkerhedsrettelserne er backportet til de tidligere versionsnumre.
Følgende versioner indeholder sikkerhedsrettelserne:
- ea-php56: 5.6.40-25
- ea-php70: 7.0.33-29
- ea-php71: 7.1.33-20
- ea-php72: 7.2.34-12
- ea-php73: 7.3.33-15
- ea-php74: 7.4.33-18
- ea-php80: 8.0.30-11
- ea-php81: 8.1.34-4
- ea-php82: 8.2.34-2
- ea-php83: 8.3.35-2
- ea-php84: 8.4.26-2
- ea-php85: 8.5.11-2
Se information fra CloudLinux her: https://cloudlinux.statuspage.io/incidents/zl0vt1yq3dj5
Alle PHP-versioner er nu patchet.
Vær opmærksom på, at CloudLinux har patchet PHP-versionerne under de gamle versionsnumre, men blot nyt build-nummer.