Vad är PHP2Shell?

Vad är PHP?

PHP är ett programspråk som körs på servern, alltså datorn hos webbhotellet där webbplatsen ligger. När du öppnar en sida är det PHP som hämtar texter, bilder och produkter ur databasen, sätter ihop dem till en färdig sida och skickar den till din webbläsare. Du ser aldrig PHP själv, bara resultatet.

Det är det vanligaste språket för det här jobbet. Enligt W3Techs används PHP av 69 procent av de webbplatser där det går att se vilket språk servern kör. En stor del av det är WordPress, som ensamt driver omkring 40 procent av alla webbplatser. Även Drupal, Joomla och WooCommerce bygger på PHP.

Vad är PHP2Shell?

PHP2Shell är namnet på två fel i PHP som blev kända i oktober 2026. Felen har de officiella beteckningarna CVE-2026-109618 och CVE-2026-109619.

Förenklat fungerar det så här. Varje gång någon besöker en sida förbereder PHP ett litet arbetsutrymme i serverns minne, gör sitt jobb och städar sedan undan. Felen gör att städningen ibland inte blir ordentlig, antingen för att förberedelsen avbryts halvvägs eller för att rester ligger kvar till nästa besök.

Under vissa omständigheter kan någon utomstående använda det för att få servern att göra saker den inte ska. Eftersom felen sitter i PHP självt spelar det ingen roll vilket system webbplatsen är byggd i. Det är därför så många har skrivit om dem.

Är det rättat?

Ja. PHP släppte rättade versioner den 21 oktober 2026. Webbhotell och Linuxleverantörer har sedan lagt in rättningen i sina egna PHP-paket.

Varför versionsnumret kan se gammalt ut

Många webbhotell, bland annat de som kör CloudLinux, lägger in rättningen i den version som redan finns i stället för att byta till ett nytt nummer. CloudLinux har gjort det för alla PHP-versioner de stöder, även de äldre versioner som PHP inte längre uppdaterar. En sajt kan därför visa ett äldre versionsnummer och ändå ha rättningen. Det är inte versionsnumret som avgör, utan om servern har uppdaterats.

Fler skydd än rättningen

Uppdateringen är det som stänger hålet, men den är inte det enda skyddet. Många webbhotell har också en brandvägg för webbtrafik, en så kallad WAF, eller säkerhetsverktyg som Imunify360. De granskar förfrågningarna innan de når webbplatsen och stoppar sådana som ser ut som kända attacker.

Både Imunify360 och Cloudflare har lagt in regler mot det attackmönster som används mot PHP2Shell, och Cloudflare gjorde det redan innan felen blev offentliga. Sådana regler ersätter inte uppdateringen, men de gör det svårare att utnyttja felen under tiden.

Behöver jag göra något?

För de flesta sköts det här av webbhotellet eller den som förvaltar sajten. Undrar du över just din webbplats är det dit du vänder dig.

Siffrorna om PHP och WordPress kommer från W3Techs, 22 oktober 2026: PHP och WordPress. Läs mer hos PHP: PHP 8.4.27. Läs mer hos CloudLinux: Fixed alt-php and ea-php packages and how to verify. Om Imunify360 och Cloudflare: Brandefense och SecurityWeek.