PHP2Shell: vad som hänt och vad vi gör för din butik

Kort sammanfattning: två kritiska sårbarheter i PHP, med smeknamnet ”PHP2Shell”, blev offentliga den 20 oktober 2026. PHP släppte en rättning den 21 oktober och vi rullar just nu ut den i alla HDL Commerce-miljöer. Du behöver inte göra något för din butik hos oss.

Vad som hänt

PHP är programmeringsspråket bakom en stor del av webben — WordPress, Magento, Drupal och många egenbyggda plattformar. Två brister hittades i PHP självt, med beteckningarna CVE-2026-109618 och CVE-2026-109619. Båda är klassade som kritiska, 9,2 av 10.

PHP:s säkerhetsgrupp hade planerat en samordnad release. Detaljerna läckte ett dygn i förväg, den 20 oktober, vilket gav angripare ett försprång.

• 20 oktober — detaljerna läcker före den planerade publiceringen.
• 21 oktober, 16:00 — PHP släpper den officiella säkerhetsuppdateringen.
• 21 oktober — vi påbörjar utrullningen i alla HDL Commerce-miljöer.

Varför det spelar roll

På en opatchad server kan en angripare köra egen kod utan att logga in. I praktiken betyder det stulen data, injicerad skadlig kod eller en butik som tas ur drift.

Eftersom bristen sitter i PHP och inte i ett enskilt tillägg eller en enskild plattform kan brandväggar på applikationsnivå inte stoppa den fullt ut. Att uppdatera PHP är den enda bekräftade åtgärden.

Det finns en fungerande exploit publikt, och säkerhetsforskare har visat att sårbarheten går att utnyttja mot Magento 2.4.9 utan inloggning. Hur mycket angrepp som faktiskt pågår i skarp drift är säkerhetsleverantörerna oense om — vissa rapporterar observationer, andra har inte sett några bekräftade spår. Vi behandlar den som aktivt utnyttjad tills något annat är belagt.

Vad vi gör

• Vi har följt händelsen sedan de första varningarna och förberedde servrarna före releasen.
• Vi rullar just nu ut den officiella PHP-uppdateringen i alla HDL Commerce-miljöer. Vi återkommer här när utrullningen är klar.
• Vi har gått igenom loggar och trafik efter tecken på intrång. Vi har inte hittat några.

Vi har inte sett någon påverkan på butiker, admin, integrationer eller data. Genomgången fortsätter så länge utrullningen pågår, och vi hör av oss direkt om bilden ändras.

Vad du behöver göra

Ingenting för din butik hos oss. PHP-uppdateringar ingår i vår drift.

Driver ni egna system utanför HDL:s drift — en ERP-koppling, interna verktyg eller en annan webbplats på en egen server — be den som sköter de servrarna att uppdatera PHP så snart det går. Rättningen finns i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Vi hjälper gärna till att kontrollera.

Frågor

Hör av dig till [email protected] eller svara på mejlet du fått från oss. Om något beter sig oväntat i din butik de närmaste dagarna — säg till direkt.

Pierre Grönberg, VD, HDL Group