Kort sagt: BSI (den tyska förbundsmyndigheten för informationssäkerhet) har utlyst varningsnivå 3 (orange) om PHP2Shell. Rekommendationen är entydig: uppdatera PHP omedelbart och, om det inte går direkt, ta berörda webbservrar tillfälligt offline. BSI räknade med snabbt storskaligt utnyttjande; bekräftade lyckade angrepp i bredd var till en början inte kända.
BSI:s PHP-varning i korthet
Den tyska förbundsmyndigheten för informationssäkerhet är den centrala fackmyndigheten för cybersäkerhet i Tyskland. Om PHP2Shell har den publicerat en varning på nivå 3 (orange). Anledningen är två kritiska sårbarheter i själva PHP: CVE-2026-109618 och CVE-2026-109619, båda bedömda med CVSS v4.0 9,2. De gör det möjligt för angripare att köra skadlig kod på servern utan inloggning.
Varningens kärnuttalanden kan sammanfattas så här:
| Uttalande | Betydelse för driftansvariga |
|---|---|
| Varningsnivå 3 / orange | allvarligt läge, åtgärd krävs |
| Omedelbar uppdatering rekommenderas | installera åtgärdade PHP-versioner |
| Annars tillfälligt offline | underordna tillgängligheten skyddet |
| Snabbt storskaligt utnyttjande förväntas | vänta inte på de första skaderapporterna |
| Lyckade angrepp i bredd till en början inte bekräftade | ingen anledning till avvisning av risken |
Den aktuella versionen i varje läge finns på BSI:s webbplats.
Vad ”uppdatera omedelbart” innebär i praktiken
PHP-projektet publicerade den 21 oktober 2026 klockan 14:00 UTC (16:00 tysk tid) de åtgärdade versionerna: PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. För PHP 8.1 och äldre finns inga officiella uppdateringar längre, bara minimala backports i källkoden för 7.4, 8.0 och 8.1.
En uppdatering är först verksam när alla PHP-processer har startats om. Nya filer räcker inte så länge gamla workers ligger kvar i minnet. Dessutom gäller: distributioner och webbhotell levererar ibland rättningar som backport. Då visar till exempel Plesk fortfarande 8.2.34 fast patchen är gjord. Avgörande är paketstatus och leverantörens bekräftelse. Och en CMS-uppdatering, till exempel av WordPress, stänger inte PHP-sårbarheten.
Om en uppdatering inte är möjlig direkt
För det fallet rekommenderar BSI att webbservrarna tillfälligt tas offline. Det är en hård åtgärd men en tydlig. För många företag är ett planerat avbrott på några timmar mindre skadligt än ett intrång med dataläckage.
php.net nämner dessutom tillfälliga åtgärder som sänker risken men uttryckligen inte ger något fullständigt skydd. Dit hör session.upload_progress.enabled=0 i serverkonfigurationen, begränsade post_max_size-värden, minnesgränser via containrar eller cgroups och på PHP 8.5 fatal_error_backtraces=0, i varje fall med en efterföljande omstart av alla workers. Detaljer finns under Omedelbara åtgärder utan patch.
Körs en webbserver som är nåbar från internet fortfarande med opatchad PHP och utan tillfälliga åtgärder följer av BSI:s rekommendation: ta servern offline tills uppdateringen är installerad och alla processer har startats om.
Bedömning av läget
BSI står inte ensamt med sin bedömning. Cloudflare rapporterade observerade angreppsförsök och har rullat ut skyddsregler men varnar för att regler enbart baserade på förfrågningsdata inte räcker. Palo Alto Networks (Unit 42) räknade mer än 22,6 miljoner exponerade, potentiellt sårbara instanser. Enligt medierapporter observerades ett första angreppsförsök redan den 17 oktober 2026, alltså före publiceringen av patcharna.
För driftansvariga följer en nykter bedömning: den som inte har patchat fram till i dag bör inte bara patcha utan också kontrollera om något redan har hänt. En patch tar inte bort skadlig programvara som förts in. Publicerade, bekräftade Indicators of Compromise finns inte; identifieringen bygger på beteendeanalys. Facktidningarna råder att spara serverloggar från och med den 20 oktober 2026. Anvisningar för sökningen finns under Är jag redan komprometterad?.
Vad rekommendationen betyder för ansvariga
En BSI-varning är ingen lag. Den är dock bedömningen från den behöriga fackmyndigheten och kan komma att spela en roll vid den senare värderingen av beslut, till exempel hos försäkringsgivare eller granskare. Företagsledningar bör därför dokumentera när de fick kännedom om varningen, hur de bedömde de egna systemen och vilka åtgärder de vidtog. Allmänna anvisningar om det finns under Företagsledningens ansvar; det är ingen juridisk rådgivning.
I praktiken är det lämpligt att inte läsa varningen bara en gång. BSI uppdaterar sina meddelanden när läget ändras, till exempel vid nya insikter om utnyttjandet eller om ytterligare sårbarheter. Sedan den 23 oktober 2026 finns dessutom en anvisning från php.net om CVE-2026-115560, som bara berör ovanliga konfigurationer och likaså avhjälps med session.upload_progress.enabled=0. Utse en person som varje dag kontrollerar BSI och php.net till dess läget är avslutat och för ändringar vidare till teknik och ledning. Då uppstår ingen kunskapsklyfta mellan dem som beslutar och dem som genomför.
Hur hjälper PHP SOS konkret?
- Vi stämmer av era webbservrar mot BSI:s rekommendation: version, paketstatus, omstart, nåbarhet.
- Inom ramen för PHP2Shell-akuthjälpen patchar vi, startar om alla processer och levererar ett belägg.
- Där en uppdatering inte går direkt sätter vi tillfälliga åtgärder och ställer vid behov upp en statisk ersättningssida.
- Vi säkrar loggar och kontrollerar med avseende på spår så att ni kan bedöma läget tillförlitligt efter patchen.
Vanliga frågor
Vad betyder varningsnivå 3 (orange) hos BSI?
Färgen beskriver ett förhöjt, allvarligt hotläge med behov av åtgärd. Vid PHP2Shell motiverar BSI det med sårbarheternas kritiska karaktär och den förväntade snabba utnyttjandet. Den exakta definitionen av nivåerna finns på BSI:s webbplats.
Måste jag följa BSI:s rekommendation?
En varning från BSI är en rekommendation, ingen lag. Den är dock en tungt vägande bedömning från den behöriga fackmyndigheten som försäkringsgivare, granskare och domstolar kan orientera sig efter. Den som avviker bör dokumentera skälen. Det är ingen juridisk rådgivning.
Har det enligt BSI redan förekommit lyckade angrepp?
Bekräftade lyckade angrepp i bredd var enligt BSI till en början inte kända. BSI räknade dock med snabbt storskaligt utnyttjande. Andra instanser rapporterade redan angreppsförsök.
Var hittar jag den aktuella versionen av varningen?
På BSI:s webbplats bland de aktuella säkerhetsvarningarna. Läget kan ändras; kontrollera där och på php.net regelbundet vad som är senaste status.