Driver du en webbplats med PHP behöver du kontrollera serverns säkerhetsuppdatering. PHP-projektet släppte den 21 oktober 2026 rättningar för CVE-2026-109618 och CVE-2026-109619, två kritiska fel som kan möjliggöra fjärrkörning av kod utan inloggning. En WordPress-uppdatering ersätter inte serverns PHP-patch.

Vilka PHP-versioner innehåller rättningarna?

PHP-grenFörsta rättade version för dessa två fel
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35
8.1 och äldreIngen ordinarie support från PHP-projektet; kontrollera leverantörens backport eller uppgradering.

Tabellen är en miniminivå för just dessa fel. En Linuxdistributör kan ha lagt in rättningen utan att byta till samma upstreamnummer. Be då om leverantörens säkerhetsbesked för båda CVE-numren. PHP 8.2 når dessutom supportslut den 31 december 2026.

PHP listar bland annat PHP-FPM, Apache mod_php, php-cgi, FrankenPHP och LiteSpeed som berörda webbmiljöer. Projektet bedömer risken som högst för mod_php. Det innebär inte att varje WordPress-sajt kan angripas på samma sätt, eller att ett intrång redan har skett.

Webbhotell: ställ en konkret fråga

Kontrollera PHP-versionen för den aktuella domänen i webbhotellets kontrollpanel. Har du flera sajter kan de använda olika instanser. Skicka sedan denna fråga till driftleverantören:

Har PHP-instansen som betjänar min webbplats rättningarna för CVE-2026-109618 och CVE-2026-109619, även om versionsnumret bygger på en distributionsbackport? Krävs någon åtgärd från mig?

Begär ett besked om webbruntime och patchstatus. Ett svar om att WordPress eller serverns operativsystem är uppdaterat lämnar själva PHP-frågan öppen.

Egen server: förbered, uppdatera och kontrollera

Säkra backup och en användbar återställningsplan före ändringen. Kontrollera applikationens PHP-kompatibilitet och använd driftleverantörens installations- och omstartsanvisning för rätt distribution.

  1. Inventera vilka webbprocesser, containrar och domäner som använder PHP. Dokumentera paket och patchstatus.
  2. Uppdatera rätt miljö via betrodd paketkälla. Bedöm om gamla processer behöver startas om enligt leverantörens instruktion.
  3. Bekräfta vilken runtime som faktiskt tar emot webbanrop. Kommandot php -v visar den PHP-instans som terminalen hittar; webbservern kan använda en annan.
  4. Kontrollera applikationens viktigaste flöden och felloggar efter ändringen. Publicera ingen phpinfo.php med systeminformation för att visa resultatet.

Om en uppgradering ger problem, isolera och felsök enligt återställningsplanen. Gör inte en sårbar version publikt tillgänglig som standardlösning. Misstänkt intrång kräver separat incidenthantering; en patch tar inte bort redan installerad skadlig kod.

Versionscheckern är ett hjälpmedel

OpenAI:s offentliga versionschecker kan läsa annonserad PHP-version från HTTP-header eller hjälpa till med lokal inventering. Den skickar inga exploateringsförsök. Resultaten behöver tolkas:

ResultatVad du kan dra för slutsats
OKDen annonserade versionen når en rättad upstreamnivå. Installationen har inte säkerhetsgranskats.
POTENTIALLY VULNERABLEVersionsjämförelsen indikerar risk; kontrollera även eventuell backport.
UNKNOWNUnderlag saknas eller kunde inte tolkas. Det är inget säkerhetsbesked.

Dolda eller missvisande HTTP-header begränsar kontrollen. Kör verktyg bara mot system du ansvarar för och följ organisationens rutin för externa skript.

Ett kompletterande besked den 23 oktober

PHP har också publicerat information om CVE-2026-115560, en separat, ovanlig kombination av sessionsinställningar och ändring av serialiseringshanterare under körning. Projektet rekommenderar session.upload_progress.enabled=0 tills nästa ordinarie buggrättning. Be driftansvarig bedöma det senaste PHP-beskedet för er applikation; inställningen ersätter inte rättningarna i tabellen.

Upptäcktsarbetet är bakgrund till uppdateringen: enligt OpenAI identifierade Calif ett kritiskt fel med GPT-5.6 Sol, Wiz rapporterade problemen oberoende och PHP:s underhållare ansvarade för fixar och release. Guiden bygger på dokumentation; Tekniksvar har inte genomfört en angrepps- eller serverinstallationstest.

Källorna kontrollerades den 25 oktober 2026.