php2shell: slik oppdaterer du PHP
PHP retter to kritiske sårbarheter 21. oktober 2026. Slik oppdaterer du PHP på webhotell, egen server og Docker, og slik demper du risikoen til det er gjort.
- Du trenger
- Hostingpanel
- Oppdatert
php2shell er to kritiske sårbarheter i PHP, CVE-2026-109618 og CVE-2026-109619, som PHP retter i en sikkerhetsoppdatering 21. oktober 2026 kl. 16.00 norsk tid. Feilen sitter i PHP på serveren, så det hjelper ikke å oppdatere WordPress eller utvidelsene. Hullet tettes først når serveren har fått den nye PHP-versjonen og PHP er startet på nytt. Bakgrunnen og hva som er bekreftet, står i artikkelen om php2shell.
Sjekk hvilken PHP-versjon du har
Gå til Verktøy → Nettstedshelse, velg fanen «Info» og åpne «Server». Der står «PHP-versjon».
| PHP-versjon | Får fiks for php2shell | Gjør dette |
|---|---|---|
| 8.2, 8.3, 8.4 og 8.5 | Ja | Oppdater til versjonene PHP slipper kl. 16.00 norsk tid |
| 8.1 og eldre | Nei | Bytt til PHP 8.3 eller nyere |
De siste versjonene før fiksen er 8.2.34, 8.3.35, 8.4.26 og 8.5.11. Viser Nettstedshelse en av dem, er PHP ikke oppdatert. Unntaket er Ubuntu og Debian, som ofte retter sårbarheter i sine egne PHP-pakker uten å endre versjonsnummeret. Der må du se i endringsloggen til pakken.
Oppdater PHP
På webhotell installerer hostingleverandøren PHP-oppdateringene for alle kundene. Du kan ikke gjøre det selv.
- Se etter driftsmeldinger eller nyheter fra hostingleverandøren om php2shell.
- Står det ingenting, ber du kundeservice bekrefte hvilken PHP-versjon siden kjører på, og når oppdateringen ble installert.
- Kjører siden PHP 8.1 eller eldre, bytter du versjon i hostingpanelet. Hvordan du gjør det uten at siden går ned, står i artikkelen om å oppgradere PHP.
Vet du ikke hvilken hostingleverandør du har, viser vi hvordan du finner ut hvem som hoster nettsiden.
Demp risikoen til PHP er oppdatert
Ifølge lekkasjene går minst én av de to veiene inn gjennom innstillingen session.upload_progress. WordPress bruker den ikke, og svært få utvidelser gjør det, så du kan slå den av uten at noe slutter å virke. Det er en delvis beskyttelse, og den erstatter ikke oppdateringen.
Innstillingen kan ikke endres med ini_set() i koden. Hvor du legger den inn, avhenger av hvordan PHP kjører:
Lag en egen fil i mappen for tilleggsinnstillinger, for eksempel /etc/php/8.3/fpm/conf.d/99-php2shell.ini på Ubuntu og Debian, med denne linjen:
session.upload_progress.enabled = 0
Start PHP på nytt etterpå. En egen fil er lett å finne og slette igjen når PHP er oppdatert.
Sjekk at innstillingen virker. Lag filen info.php i rotmappen med innholdet <?php phpinfo();, åpne den i nettleseren og søk etter session.upload_progress.enabled. Kolonnen «Local Value» skal vise «Off». Slett filen med en gang etterpå, fordi den viser mye om serveren.
Når siden kjører PHP 8.1 eller eldre
PHP 8.1 og eldre får ingen fiks for php2shell. Bytt til PHP 8.3 eller nyere som beskrevet i artikkelen om å oppgradere PHP. Klarer du ikke det med en gang, bør siden stenges for alle andre enn kjente IP-adresser til den er oppgradert. Det kan hostingleverandøren eller utvikleren gjøre.
Når PHP er oppdatert
Oppdateringen tetter hullet, men den fjerner ikke bakdører som ble lagt inn før. Sjekk serveren som beskrevet i artikkelen om å se etter innbrudd etter php2shell. Linjen med session.upload_progress kan bli stående, siden WordPress ikke bruker funksjonen.