Kort sagt: BSI (det tyske forbundsagentur for informationssikkerhed) har udråbt advarselsniveau 3 (orange) for PHP2Shell. Anbefalingen er entydig: Opdatér PHP øjeblikkeligt, og hvis det ikke kan ske med det samme, tag de berørte webservere midlertidigt af nettet. BSI regnede med hurtig udnyttelse i stor skala; bekræftede vellykkede angreb i bredden var i første omgang ikke kendt.
BSI-advarslen om PHP i korte træk
Bundesamt für Sicherheit in der Informationstechnik (BSI) er den centrale fagmyndighed for cybersikkerhed i Tyskland. Om PHP2Shell har den offentliggjort en advarsel på niveau 3 (orange). Anledningen er to kritiske sårbarheder i PHP selv: CVE-2026-109618 og CVE-2026-109619, begge vurderet til CVSS v4.0 9,2. De tillader angribere at udføre skadelig kode på serveren uden login.
Advarslens kerneudsagn kan sammenfattes sådan:
| Udsagn | Betydning for driftsansvarlige |
|---|---|
| Advarselsniveau 3 / orange | alvorlig situation, handling nødvendig |
| Øjeblikkelig opdatering anbefalet | indspil rettede PHP-versioner |
| Ellers midlertidigt af nettet | prioritér beskyttelse over tilgængelighed |
| Hurtig udnyttelse i stor skala forventet | vent ikke på de første skademeldinger |
| Vellykkede angreb i bredden i første omgang ikke bekræftet | ingen grund til afblæsning |
Den til enhver tid aktuelle udgave finder I på BSI's website.
Hvad „opdatér øjeblikkeligt“ betyder i praksis
PHP-projektet udgav den 21.10.2026 kl. 14:00 UTC (kl. 16 tysk tid) de rettede versioner: PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. For PHP 8.1 og ældre findes der ikke længere officielle opdateringer, kun minimale kilde-backports til 7.4, 8.0 og 8.1.
En opdatering er først virksom, når alle PHP-processer er genstartet. Nye filer alene er ikke nok, så længe gamle workere kører i hukommelsen. Desuden gælder: Distributioner og hostingudbydere indspiller nogle gange rettelser som backport. Så viser f.eks. Plesk fortsat 8.2.34, selv om der er patchet. Afgørende er pakkestatus og udbyderens bekræftelse. Og en CMS-opdatering, f.eks. af WordPress, lukker ikke PHP-sårbarheden.
Hvis en opdatering ikke er mulig med det samme
I dette tilfælde anbefaler BSI at tage webserverne midlertidigt af nettet. Det er en hård foranstaltning, men en klar en. For mange virksomheder er et planlagt udfald på nogle timer mindre skadeligt end et indbrud med dataudstrømning.
php.net nævner desuden midlertidige foranstaltninger, som sænker risikoen, men udtrykkeligt ikke giver fuldstændig beskyttelse. Hertil hører session.upload_progress.enabled=0 i serverkonfigurationen, begrænsede post_max_size-værdier, hukommelsesgrænser via containere eller cgroups og på PHP 8.5 fatal_error_backtraces=0, i hvert tilfælde med efterfølgende genstart af alle workere. Enkeltheder står under Akutforanstaltninger uden patch.
Kører en offentligt tilgængelig webserver stadig med upatchet PHP og uden midlertidige foranstaltninger, følger af BSI's anbefaling: Tag serveren af nettet, indtil opdateringen er indspillet og alle processer er genstartet.
Vurdering af situationen
BSI står ikke alene med sin vurdering. Cloudflare meldte om observerede angrebsforsøg og har udrullet beskyttelsesregler, men advarer om, at regler alene på grundlag af forespørgselsdata ikke er tilstrækkelige. Palo Alto Networks (Unit 42) talte mere end 22,6 millioner eksponerede, potentielt sårbare instanser. Ifølge mediemeldinger blev et første angrebsforsøg observeret allerede den 17.10.2026, altså før patchene blev offentliggjort.
For driftsansvarlige følger deraf en nøgtern vurdering: Den, der indtil i dag ikke har patchet, bør ikke blot patche, men også undersøge, om der allerede er sket noget. En patch fjerner ikke skadelig software, der er smuglet ind. Offentliggjorte, bekræftede Indicators of Compromise findes ikke; detektionen bygger på adfærdsanalyse. Fagpressen anbefaler at gemme serverlogs fra og med 20.10.2026. Henvisninger til søgningen står under Er jeg allerede kompromitteret?.
Hvad anbefalingen betyder for de ansvarlige
En BSI-advarsel er ingen lov. Den er dog vurderingen fra den kompetente fagmyndighed og kan komme til at spille en rolle ved den senere bedømmelse af beslutninger, f.eks. hos forsikringsselskaber eller kontrollører. Ledelser bør derfor dokumentere, hvornår de fik kendskab til advarslen, hvordan de vurderede egne systemer, og hvilke foranstaltninger de traf. Generelle henvisninger hertil står under Ledelsens ansvar; det er ingen juridisk rådgivning.
I praksis er det en god idé ikke kun at læse advarslen én gang. BSI opdaterer sine meddelelser, når situationen ændrer sig, f.eks. ved nye erkendelser om udnyttelsen eller om yderligere sårbarheder. Siden 23.10.2026 findes der desuden en henvisning fra php.net om CVE-2026-115560, som kun berører usædvanlige konfigurationer og ligeledes afbødes med session.upload_progress.enabled=0. Udpeg en person, som dagligt kontrollerer BSI og php.net, indtil situationen er afsluttet, og giver ændringer videre til teknik og ledelse. Så opstår der ingen videnskløft mellem dem, der beslutter, og dem, der gennemfører.
Hvordan hjælper PHP SOS konkret?
- Vi afstemmer jeres webservere med BSI's anbefaling: version, pakkestatus, genstart, tilgængelighed.
- Som led i PHP2Shell-akuthjælpen patcher vi, genstarter alle processer og leverer dokumentation.
- Hvor en opdatering ikke er mulig med det samme, sætter vi midlertidige foranstaltninger og stiller om nødvendigt en statisk erstatningsside til rådighed.
- Vi sikrer logs og undersøger for spor, så I kan vurdere situationen robust efter patchen.
Ofte stillede spørgsmål
Hvad betyder advarselsniveau 3 (orange) hos BSI?
Farven beskriver en forhøjet, alvorlig trusselssituation med behov for handling. Ved PHP2Shell begrunder BSI det med sårbarhedernes kritiskhed og den forventede hurtige udnyttelse. Den nøjagtige definition af niveauerne finder I på BSI's website.
Skal jeg følge BSI's anbefaling?
En advarsel fra BSI er en anbefaling, ikke en lov. Den er dog en tungtvejende vurdering fra den kompetente fagmyndighed, som forsikringsselskaber, kontrollører og domstole kan orientere sig efter. Den, der afviger, bør dokumentere grundene. Det er ingen juridisk rådgivning.
Har der ifølge BSI allerede været vellykkede angreb?
Bekræftede vellykkede angreb i bredden var ifølge BSI i første omgang ikke kendt. BSI regnede dog med hurtig udnyttelse i stor skala. Andre instanser meldte allerede om angrebsforsøg.
Hvor finder jeg den aktuelle udgave af advarslen?
På BSI's website under de aktuelle sikkerhedsadvarsler. Situationen kan ændre sig; kontrollér dér og på php.net jævnligt den nyeste status.