Der er offentliggjort to kritiske sårbarheder i PHP, CVE-2026-109618 og CVE-2026-109619, samlet omtalt som PHP2Shell. Under visse omstændigheder kan sårbarhederne udnyttes via særligt udformede HTTP-forespørgsler til at opnå remote code execution (RCE), dvs. fjernkørsel af kode på serveren. Udnyttelse kan dermed potentielt kompromittere det berørte system.
Vi har siden i formiddags haft en mitigering på plads via Imunifys WAF-regelsæt, som blokerer kendte exploit-mønstre.
Vi overvåger fortsat situationen og arbejder på at opdatere vores PHP-builds, så snart de relevante, patchede CloudLinux-pakker er tilgængelige. CloudLinux arbejder desuden på at backporte sikkerhedsrettelserne til ældre PHP-versioner via HardenedPHP, så også versioner, der ikke længere vedligeholdes upstream, kan få adgang til rettelserne.
Vi følger udviklingen tæt og implementerer de permanente sikkerhedsrettelser, så snart de relevante pakker er tilgængelige.