Kritisk PHP-sårbarhet (CVE-2026-109618 & CVE-2026-109619): hitta drabbade servrar med vScope

Vill du ha kortversionen? Se vår sida Kritisk PHP-sårbarhet: hitta drabbade servrar med vScope.

Vad har hänt?

Den 21 oktober 2026 släppte PHP rättningar för två kritiska sårbarheter, CVE-2026-109618 och CVE-2026-109619. Båda har betyget CVSS 9.2 och kan låta en obehörig angripare köra kod på en server som kör PHP. Detaljerna blev kända innan många hunnit uppdatera, och attacker har rapporterats.

• Rättade versioner: PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Äldre grenar är också påverkade och beror på leverantörens paketering.
• Vem är utsatt: Alla PHP-miljöer som hanterar webbförfrågningar, till exempel Apache med mod_php, PHP-FPM, php-cgi, FrankenPHP och LiteSpeed.
• Åtgärden: Uppdatera PHP (eller leverantörens paket eller containerimage) och starta om webbprocesserna.

PHP finns i betydligt fler system än hemsidor: webbutiker, kundportaler, intranät, ärendesystem och många kommersiella applikationer levereras med egen PHP.

Den verkliga utmaningen: veta var PHP körs

Att patcha är det enkla. Det svåra är att svara på “var kör vi PHP, och vilken version?” på servrar som sattes upp för flera år sedan, av olika team, med programvara som har sin egen tolk inbyggd.

Det är precis det en uppdaterad inventering av programvara och paket är till för.

Så hjälper vScope

1. Inventering av programvara och paket

vScope samlar in installerad programvara och installerade paket från dina servrar. Sök efter PHP i inventeringen och du får en lista över de upptäckta servrarna som har det, vilken version de kör och varifrån den kommer. Sortera på version för att se vilka servrar som ligger under de rättade versionerna och behöver åtgärdas först.

Så hittar du PHP:

1. Skapa en tabell över assettypen Applications och sök efter php, eller efter programvaror du vet använder PHP.
2. Använd kolumnen Installed On för att lista ändpunkterna som kör applikationen.
3. Lägg till php, eller ett applikationsnamn, som filter för att avgränsa listan.
4. Du kan också använda assettypen Processes för att se PHP-processer som körs.

Linux-distributioner backportar ofta rättningar utan att ändra versionsnumret, så kontrollera leverantörens besked innan du avgör att en server är sårbar.

2. Färdiga rapporter och insikter

Du behöver inte bygga sökningarna själv. vScope levereras med färdiga rapporter och insikter som hjälper dig med de här stegen, till exempel:

• PHP installations: var PHP är installerat i din miljö.
• Potential vulnerable applications using PHP: applikationer som kör PHP och som kan innehålla kända säkerhetsbrister.
• Vulnerable PHP versions discovered: PHP-versioner i din miljö som är kända för att vara sårbara.

Läs mer om Rapporter & Insikter.

3. Se vilka tjänster som påverkas

I vScope är servrar kopplade till de applikationer de kör och de IT-tjänster de levererar. Hitta servrarna som kör PHP och följ relationerna för att se vilka tjänster som är beroende av dem. Då kan du patcha de internetexponerade tjänsterna först, och ta servrar som ingen tjänst är beroende av senare.

Läs mer om Relationer.

4. Windows och Linux i samma vy

vScope skannar både Windows- och Linux-miljöer. Windows-applikationer och Linux-paket hamnar i samma asset repository, så du behöver inte en rutin för IIS-servrar och en annan för Apache- och Nginx-servrar.

5. Datan finns redan i vScope

vScope är ett självuppdaterande asset-bibliotek, alltid tillgängligt för alla som behöver informationen. Kör du redan vScope kan du börja söka i din inventering direkt.

6. Följ upp tills det är åtgärdat

vScope sparar historik över förändringar. Kör en ny inventering efter patchning och sök igen för att bekräfta att servrarna har gått till en rättad version, och använd resultatet som underlag till säkerhetsteam, revisorer eller ledning.

Påverkas vScope?

Nej. vScope använder inte PHP på något sätt, så CVE-2026-109618 och CVE-2026-109619 påverkar inte vScope.

Dessutom körs vScope on-prem, i din egen miljö. Det är ingen hostad tjänst, och det skyddas av samma säkerhetsrutiner som resten av din infrastruktur: din nätverkssegmentering, din åtkomstkontroll och dina patchrutiner. Din inventeringsdata stannar hos dig.

Gör så här nu

1. Sök i din inventering efter PHP och lista servrar per version.
2. Prioritera internetexponerade servrar, och allt som kör mod_php.
3. Patcha eller byt ut till en rättad version. Kontrollera applikationsleverantörens besked, eftersom vissa applikationer har egen PHP inbyggd. Bygg om containerimages och starta om alla webbprocesser.
4. Går det inte att patcha direkt: begränsa publik åtkomst till applikationen och sätt gränser för storleken på förfrågningar i er reverse proxy eller WAF.
5. Kör en ny inventering och verifiera i vScope att ingen upptäckt server ligger kvar på en sårbar version.

Det här täcker vScope inte

vScope visar det som går att upptäcka. Ingen inventering täcker allt, så ha de här luckorna i åtanke när du söker efter PHP:

• Oupptäckta plattformar och assets: servrar, containers (Docker, Kubernetes) och andra plattformar som inventeringen inte är uppsatt för, samt skugg-IT utanför räckvidd, till exempel SaaS och externa moln.
• Assets som vScope inte kan logga in på: inventeringen är beroende av inloggningsuppgifter. Där åtkomst saknas eller är otillräcklig saknas också data.
• PHP i egenutvecklad kod: PHP som är inbäddat i egenutvecklad programvara, eller paketerat så att det inte registreras som ett installerat paket, kanske inte dyker upp i en sökning på programvara.

Använd vScope för att täcka det du känner till, och se luckor som en anledning att utöka inventeringen.

Har du inte vScope ännu?

vScope är agentlöst och installeras och konfigureras snabbt i din miljö. Boka en demo så visar vi hur du tar reda på vad som körs, innan nästa sårbarhet gör det akut.

Läs mer om vScope

• Asset Discovery: agentlös inventering av servrar, programvara och paket i Windows och Linux.
• Governance: ge assets ägare, sammanhang och dokumentation.
• Compliance: löpande kontroller och underlag för säkerhet och revision.

Källor

• PHP.net: Security advisory, critical remote code execution vulnerabilities
• CERT-EU Security Advisory 2026-018