PHP lukker to kritiske huller: Opdatér webserveren nu

PHP-projektet har udsendt sikkerhedsopdateringer, der lukker to kritiske fejl i den software, som driver hjemmesider og webapplikationer. Fejlene kan give en angriber mulighed for at køre kode på en sårbar server uden først at logge ind. Rettelserne blev offentliggjort den 21. oktober, og udviklerne opfordrer til øjeblikkelig opdatering.

For danske virksomheder, foreninger og andre hjemmesideejere med PHP betyder det, at servermiljøet skal kontrolleres hos den driftsansvarlige. Det gælder også, når selve hjemmesidens CMS, eksempelvis WordPress, og udvidelser allerede er opdateret. Det sårbare lag ligger under hjemmesidens egen kode.

Angrebet kan begynde før hjemmesidens kode

De to fejl har betegnelserne CVE-2026-109618 og CVE-2026-109619. Den første vedrører håndteringen af situationer, hvor PHP løber tør for hukommelse. Den anden handler om intern tilstand, der kan pege på hukommelse, efter at den er blevet frigivet.

I begge tilfælde kan fejl i oprydningen mellem webforespørgsler få sikkerhedsmæssige konsekvenser. PHP-projektet vurderer risikoen som størst ved Apache med mod_php: Her er et angreb demonstreret, som kan udløses, før applikationens egen kode overhovedet bliver kørt.

Risikoen afhænger af blandt andet serveropsætning, PHP-version og udvidelser. PHP-FPM og andre måder at afvikle PHP på er også omfattet af opdateringsopfordringen. Man kan derfor ikke bruge fraværet af mod_php som bekræftelse på, at installationen er sikker.

Fire versionsserier har fået rettelser

De rettede udgaver er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Det er opdateringer til hver sin versionsserie: En installation i 8.4-serien skal eksempelvis have rettelsen i 8.4.27 eller en senere rettet udgave.

PHP 8.1 og ældre er uden for projektets almindelige sikkerhedssupport. Nogle Linux-distributioner og leverandører med langtidsstøtte kan dog have overført rettelserne til deres egne ældre pakker. Derfor bør driftsansvarlige kontrollere leverandørens sikkerhedsmeddelelse og pakkestatus frem for alene at sammenligne et kort versionsnummer.

PHP-projektet har desuden gjort kildekoderettelser til 7.4, 8.0 og 8.1 tilgængelige som en ekstraordinær hjælp. Det gør ikke de gamle serier til almindeligt understøttede udgaver. En leverandør skal stadig kunne dokumentere, at de konkrete fejl er rettet i det miljø, der betjener hjemmesiden.

Rettelsen skal også ind i den kørende tjeneste

At en rettet pakke findes, er første skridt. Den skal også være installeret og taget i brug af den tjeneste, som behandler webtrafikken.

Den amerikanske offentlige cloudtjeneste Cloud.gov har eksempelvis bedt kunder med sin PHP-buildpack om at genstarte udrulningen af deres applikationer, så de bruger den opdaterede pakke. Kunder med egne containerbilleder skal opdatere PHP i billedet og udrulle det på ny.

Det er et konkret eksempel på, hvorfor et sikkerhedsfix i en pakkekilde ikke automatisk betyder, at alle eksisterende installationer bruger det. Ved et administreret webhotel ligger den del af arbejdet typisk hos udbyderen. Ved egen server eller containerdrift skal den ansvarlige administrator følge opdateringen helt frem til den kørende applikation.

Forskere har vist, at fejlene kan udnyttes

Sikkerhedsfirmaet Wiz oplyser, at det har demonstreret angreb mod installationer med WordPress, Drupal og Joomla. Det er eksempler på rækkevidden af fejlene i PHP, ikke en besked om, at problemet kun gælder de tre systemer.

Forskerne har også demonstreret adgang til følsomme oplysninger i PHP-processens hukommelse. Sådanne oplysninger kan blandt andet være adgangskoder, tokens og API-nøgler. Det udvider konsekvenserne fra selve hjemmesiden til de tjenester, den kan have adgang til.

Canadas cybersikkerhedscenter skrev i sin advarsel den 21. oktober, at der var offentlig omtale af demonstrationskode, men at centret på det tidspunkt ikke havde identificeret aktiv udnyttelse. Det er en tidsbestemt vurdering. NHS England vurderer fremtidig udnyttelse som meget sandsynlig og anbefaler opdatering som den fuldstændige afhjælpning.

Hjemmesideejere skal have en konkret bekræftelse

Den praktiske opgave er at få afklaret, hvem der driver PHP-miljøet, og om begge CVE-numre er dækket af installerede rettelser. En besked om, at WordPress eller et andet CMS er opdateret, besvarer ikke det spørgsmål.

Canadas cybersikkerhedscenter anbefaler at prioritere systemer med adgang fra internettet og også undersøge tredjepartsprodukter, apparater og containere, som indeholder PHP. Centret anbefaler desuden gennemgang af logfiler og undersøgelse af uventede processer, filer, konti og forbindelser.

Hvis opdateringen ikke kan gennemføres straks, bør den driftsansvarlige vurdere midlertidig isolation af den berørte tjeneste. Den varige løsning er klar: Installér rettelserne, og kontrollér, at hjemmesiden faktisk kører med dem.