Kritiske PHP-feil kan gi innbrudd uten innlogging – oppdater nå

PHP-prosjektet slapp onsdag 21. oktober nye versjoner som tetter to kritiske sårbarheter. Ifølge PHPs egen sikkerhetsmelding kan feilene gi fjernkjøring av kode uten innlogging. OpenAI oppgir at selskapets modeller hjalp forskere med å finne feilene, og at selskapet har ledet en koalisjon som har forberedt rettelsen i to måneder.

For norske virksomheter er budskapet enkelt: finn ut hvor dere kjører PHP, og oppdater nå. PHP-teamet skriver selv at oppdatering er det eneste trygge valget.

Hva PHP har rettet

De rettede versjonene er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Sårbarhetene har fått betegnelsene CVE-2026-109618 og CVE-2026-109619. I forhåndsvarselet dagen før skrev PHP-teamet at begge har alvorlighetsgrad 9,2 etter CVSS v4.0, og at utgivelsen var planlagt til klokken 16.00 norsk tid onsdag.

Den første feilen handler om håndtering av minnemangel. PHP kan bli avbrutt mens intern forespørselsdata bare er delvis klargjort, og oppryddingen kan deretter behandle ugyldige data som gyldige. Den andre feilen handler om intern tilstand som overlever etter at minnet bak den er frigjort, slik at en senere forespørsel i samme prosess kan bruke den.

PHP-teamet oppgir at alle PHP-installasjoner som betjener nettforespørsler er utsatt. Det gjelder blant annet PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Risikoen er størst for mod_php. Der har teamet vist et angrep der en uautentisert forespørsel kan utløse feilen før noe applikasjonskode i det hele tatt kjører.

PHP-meldingen sier ikke noe om at feilene er utnyttet i angrep. OpenAI skriver at grensemodellene, så vidt selskapet vet, fant sårbarhetene før angripere gjorde det.

Eldre versjoner og midlertidige tiltak

PHP 8.1 og eldre får ikke lenger oppdateringer fra PHP-prosjektet. Fordi feilene er så alvorlige, har sikkerhetsteamet likevel laget minimale kildekoderettelser for PHP 7.4, 8.0 og 8.1 for dem som bygger selv eller mangler en leverandør med langtidsstøtte. Linux-distribusjoner og slike leverandører fikk rettelsene på forhånd, så PHP ber brukerne sjekke pakkene fra sin egen leverandør.

Den frivillig drevne pakkekilden rpms.remirepo.net får ikke oppdateringer onsdag, ifølge PHP. Teamet ber brukere av den gå over til distribusjonens pakker eller bygge fra kildekode.

Kan dere ikke oppdatere med en gang, beskriver PHP enkelte grep som reduserer risikoen langs bestemte angrepsveier. Det gjelder blant annet innstillinger for minnegrense og størrelse på forespørsler, og å slå av session.upload_progress. PHP understreker at disse tiltakene ikke gjør en installasjon trygg. PHP 8.2 når dessuten slutten av sin levetid 31. desember 2026.

Hva OpenAI sier om funnet

OpenAI skriver at sikkerhetsselskapet Calif fant en kritisk feil med modellen GPT-5.6 Sol, som del av OpenAIs program Patch the Planet. Sikkerhetsselskapet Wiz fant og rapporterte begge sårbarhetene uavhengig. PHPs vedlikeholdere ledet rettelsen. OpenAI, Wiz, Cloudflare og andre bidro med forskning, teknisk støtte og koordinering.

OpenAI kaller dette en av de mest alvorlige sikkerhetssakene i nyere tid. Selskapet anslår at PHP driver rundt 70 prosent av nettsidene i verden. Det tallet er OpenAIs eget anslag.

Selskapet deler en versjonssjekker for PHP og oppgir at det vil lansere en tilhørende Codex-ferdighet. OpenAI sier også at det har satt av 1 milliard dollar i subsidiert tilgang til sikkerhetstjenesten Daybreak for organisasjoner med små sikkerhetsressurser som beskytter viktige tjenester. Selskapet venter at slike funn vil øke kraftig de kommende månedene, og foreslår en fast prosess i fem trinn for å koordinere rettelser før en sårbarhet blir offentlig.

Hva ledere bør gjøre nå

Det viktigste er å vite hvor PHP kjører. Mange virksomheter har PHP i publiseringsløsninger, nettbutikker, kundeportaler og eldre fagsystemer, ofte hos en driftsleverandør eller et webbyrå. Be om skriftlig bekreftelse på hvilke versjoner som kjører, og når de er oppdatert.

Prioriter tjenester som er åpne mot internett, og særlig oppsett med Apache og mod_php, der PHP selv vurderer risikoen som høyest. Midlertidige innstillinger kan kjøpe tid, men erstatter ikke oppdateringen.

Har dere systemer på PHP 8.1 eller eldre, er dette en kostnads- og risikosak, ikke bare en IT-oppgave. Avklar om leverandøren tilbyr rettelser, eller planlegg oppgradering. Samme spørsmål gjelder PHP 8.2 før nyttår.

Saken viser også hvordan KI endrer tempoet i sikkerhetsarbeidet. Når OpenAI selv venter flere slike funn, bør virksomheten ha en fast rutine for raske sikkerhetsoppdateringer, med tydelig ansvar hos egne folk og hos leverandørene.

Kilder og medier

• PHP: Security advisory, Critical remote code execution vulnerabilities, publisert 21. oktober 2026, lest 21. oktober 2026 kl. 16.07 norsk tid.
• OpenAI: Patch the Planet, global response coordination as agents uncover critical vulnerabilities, publisert 21. oktober 2026.
• OpenAI på X om PHP-sårbarhetene, publisert 21. oktober 2026 kl. 16.04 norsk tid.

Illustrasjon: KI-generert med Grok Bot / hogby.ai