I går ble det kjent to sikkerhetshull i PHP, programmeringsspråket som WordPress og de fleste nettsidene vi drifter kjører på. Alle webhotellserverne våre har nå fått rettelsen, og du trenger ikke gjøre noe selv. Her forklarer vi hva som har skjedd, hva som er gjort, og hvorfor versjonsnummeret på nettsiden din kan se ut som før.
Hva har skjedd?
Sikkerhetshullene har fått betegnelsene CVE-2026-109618 og CVE-2026-109619 og er omtalt blant annet av VG og Nasjonal sikkerhetsmyndighet (NSM).
PHP-prosjektet har rettet feilene i versjon 8.2.35, 8.3.36, 8.4.27 og 8.5.12.
Dette har vi gjort
Samme dag som hullene ble kjent, satte driftsleverandøren vår ServeTheWorld inn midlertidige tiltak. Noen PHP-innstillinger ble slått av, og sikkerhetssystemet Imunify360 fikk egne filtre som stopper forsøk på å utnytte feilen. Disse tiltakene er fortsatt på plass.
Nå har CloudLinux, som leverer PHP-pakkene på serverne, sluppet oppdaterte pakker med rettelsen. De er installert på alle webhotellserverne, og ServeTheWorld har kontrollert at rettelsen står i endringsloggen til pakkene.
Hvorfor står det fortsatt 8.4.26?
Sjekker du PHP-versjonen på nettsiden din, kan det fortsatt stå for eksempel 8.4.26. Det er som forventet. CloudLinux lager ikke en ny versjon, men legger rettelsen inn i versjonen som allerede er installert. Versjonsnummeret blir stående, og det er bare pakkeutgaven som endres.
Derfor kan verken php -v, phpinfo() eller WordPress vise om rettelsen er på plass, og enkelte sikkerhetsverktøy kan fortsatt melde at versjonen er utdatert. Rettelsen synes bare i endringsloggen til pakken på serveren, og vi har sjekket at den er på plass for alle våre kunders nettsider.
Eldre PHP-versjoner er også dekket
Nettsider som kjører PHP 7.4, 8.0 eller 8.1 har også fått rettelsen. PHP-prosjektet lager ikke lenger oppdateringer for disse versjonene, men CloudLinux har laget oppdaterte pakker for dem. Også her blir versjonsnummeret stående som før.
Kjører nettsiden din en av disse versjonene, anbefaler vi likevel å oppgradere til en nyere PHP-versjon. I så fall tar vi kontakt med deg direkte.
Må du gjøre noe?
Nei. Ligger nettsiden din hos oss, er rettelsen allerede på plass. Lurer du på noe, eller vil du vite hvilken PHP-versjon siden din kjører, kan du kontakte oss.
