Ekstraordinært varsel om kritiske sårbarheder i PHP

 Påvirkede produkter

• PHP

Alvorlighed: Kritisk

Det er vigtigt at du handler, hvis du benytter PHP. Hvis en eller begge sårbarheder bliver udnyttet, vil det kunne lede til fjerkodeeksekvering.

Handling

Opdatér PHP til version 8.5.12, 8.4.27, 8.3.36 eller 8.2.35.

Hvis det ikke er muligt at opdatere, så læs nedenfor under Handling udover at opdatere.

Detaljeret overblik

PHP

ID: CVE-2026-109618 og CVE-2026-109619, EUVD-2026-107260 og EUVD-2026-107265

PHP har to fejl i håndteringen af hukommelse, hvor begge sårbarheder kan lade en angriber udføre fjernkodeeksekvering.

Den første opstår, når en global tilstand, der midlertidigt peger ind i en forespørgsels hukommelse, ikke nulstilles korrekt eller bliver genopfyldt efter nulstilling. Tilstanden kan dermed pege på hukommelse, der allerede er frigivet. Hvis en efterfølgende forespørgsel benytter denne tilstand, før den er fuldt initialiseret, kan den komme til at læse fra den frigivne hukommelse eller styre programmets forløb ud fra den.

Den anden opstår, når PHP bruger longjmp() til at afbryde en forespørgsel grundet manglende plads i hukommelsen. Nogle kontekster kompenserer ikke for dette og efterlader data uinitialiserede, før der foretages en hukommelses-allokering. Når PHP efterfølgende renser forespørgslens hukommelse, kan den bruge de uinitialiserede data i de betingelser, som der styrer hvilken kodesti der eksekveres.

Alvorlighed: Kritisk (CVSS 9.2)

Kilde:

• Forsvarets Efterretningstjeneste
• php.net/archive/2026.php#2026-10-21-5
• nvd.nist.gov/vuln/detail/CVE-2026-109619
• nvd.nist.gov/vuln/detail/CVE-2026-109618
• euvd.enisa.europa.eu/vulnerability/CVE-2026-109619
• euvd.enisa.europa.eu/vulnerability/CVE-2026-109618

Handling udover at opdatere: Hvis dit system kører en PHP-version 8.1 eller ældre, er den end-of-life. Dette betyder, at den ikke kan opdateres og det vil derfor være nødvendigt at opgradere systemet. Hvis PHP for nuværende ikke kan opdateres, kan der implementeres mitigerende foranstaltninger ved at følge trinene i afsnittet ”If you cannot update immediately” i PHP’s Security Advisory ovenfor eller at fjerne internet-adgangen fra systemet.

Øvrige ressourcer 

• Styrelsen for Samfundssikkerheds ordforklaringer: samsik.dk/cybersikkerhed/ordforklaringer/
• Styrelsen for Samfundssikkerheds trusselsvurderinger: samsik.dk/cybersikkerhed/trusselsvurderinger/

 Vi justerer løbende på formatet og hører meget gerne fra dig, hvis du har feedback.

Baggrund

Dette et er varsel om udnyttede sårbarheder i software. Varslet kan anvendes til at prioritere patchning af virksomhedens systemer.

Første del er oversigten over systemer, som virksomheden bør prioritere højt at opdatere. Afsnittet ”Detaljeret overblik” er en mere dybdegående oversigt over sårbarhederne og deres konsekvenser.

Varslet er baseret på den amerikanske cyber- og infrastruktursmyndighed CISA^1. Specifikt er deres KEV²-kartotek blevet anvendt. Særlige beskeder kan nævne forhold, der går ud over KEV-kataloget.

Sårbarhederne er noteret med deres CVE³-nummer og deres CVSS⁴-score. CVE-nummeret er henvisning til CVE-kataloget, hvor sårbarheden er registreret. CVSS-scoren er en numerisk værdi, der vurderer kritikaliteten af sårbarheden.

Nedenfor er en tabel, der angiver alvorligheden af forskellige CVSS-intervaller.

_Fodnoter:

_{1 Cybersecurity and Infrastructure Security Agency}

_{2 Known Exploits and Vulnerabilities}

_{3 Common Vulnerabilities and Exploits}

_{4 Common Vulnerability Severity Score}