Opdatering vedr. kritiske sårbarheder i PHP
(CVE-2026-109618 og CVE-2026-109619)

Der er offentliggjort information om to kritiske sårbarheder i PHP, som potentielt kan give en angriber mulighed for at afvikle kode på en server. Sårbarhederne berører alle PHP-versioner fra 5.4 og frem.

Har I spørgsmål vedr. jeres løsning, så skriv gerne en mail på info@reklamehuset.dk

Vi er opmærksomme på sårbarhederne og følger situationen tæt. PHP frigiver de officielle rettelser i dag, onsdag den 21. oktober, kl. 16:00 dansk tid. Derefter skal leverandørerne af de pakkearkiver (repositories), vi benytter, udgive opdaterede pakker, før vi kan rulle dem ud.

Så snart pakkerne er tilgængelige, igangsætter vi et nødpatch-vindue. I den forbindelse kan der forekomme kortvarige genstarter af PHP-tjenester.

Vi opdaterer webhoteller, shared services og servere, hvor vi har driftsansvaret for middleware. Servere uden for vores driftsansvar bliver ikke opdateret af os. Her anbefaler vi, at man følger situationen og opdaterer PHP, så snart rettelserne er tilgængelige.

Vi opdaterer denne driftsmeddelelse løbende, herunder med tidspunktet for nødpatch-vinduet, når det er fastlagt.

21. oktober 2026 23:25
Udrulningen af de rettede PHP-pakker er nu gennemført på alle servere, hvor vi har driftsansvaret for middleware. Servere uden for vores driftsansvar er som tidligere nævnt ikke omfattet, og vi anbefaler fortsat, at man opdaterer PHP hurtigst muligt.

Arbejdet med webhotellerne fortsætter. Vi afventer, at de rettede pakker er fuldt synkroniseret ud til pakkespejlene, og påbegynder udrulningen, så snart de er tilgængelige. Vi opdaterer denne driftsmeddelelse løbende.

21. oktober 2026 22:45
Vi påbegynder nu også udrulningen på vores AlmaLinux 9-servere. Der skal som før forventes kortvarige udfald, når PHP-tjenesterne genstartes.

For webhotellerne afventer vi, at de rettede pakker er synkroniseret ud til leverandørens pakkespejle (mirrors). Vi forventer at kunne påbegynde udrulningen inden længe og opdaterer denne driftsmeddelelse løbende.

21. oktober 2026 20:45
Vi har nu testede pakker klar til vores AlmaLinux 8- og AlmaLinux 10-servere og påbegynder udrulningen nu. Der skal forventes kortvarige udfald, når PHP-tjenesterne genstartes.

Webhoteller og øvrige servere med andre operativsystemer afventer fortsat testede pakker. Vi opdaterer denne driftsmeddelelse, når udrulningen på disse kan påbegyndes.

21. oktober 2026 18:30
Plesk har frigivet patchede PHP-pakker, og vi har nu opdateret alle Plesk-servere, hvor vi har driftsansvaret for middleware. Der kan i den forbindelse have forekommet kortvarige genstarter af PHP-tjenester.

For vores øvrige platforme afventer vi fortsat, at der er testede pakker klar til alle versioner. Vi opdaterer denne driftsmeddelelse, når der er nyt.

21. oktober 2026 16:45
Leverandørerne er nu begyndt at frigive patchede pakker. Vi er i gang med at teste dem og sikre, at der er opdaterede pakker til alle de PHP-versioner og platforme, vi drifter.

Vi igangsætter nødpatch-vinduet, så snart testen er gennemført, og pakkerne er klar til udrulning. Vi opdaterer denne driftsmeddelelse med tidspunktet, når det er fastlagt.

De midlertidige sikkerhedsforanstaltninger fra tidligere i dag er fortsat aktive.

21. oktober 2026 11:00
Vi har nu implementeret en række midlertidige sikkerhedsforanstaltninger på vores webhoteller, herunder justeringer af PHP-konfigurationen, som skal reducere risikoen for udnyttelse af de annoncerede sårbarheder.
Vi undersøger desuden yderligere beskyttelsesmekanismer, som kan bidrage til at afværge angrebsforsøg.
Disse tiltag er midlertidige og erstatter ikke de officielle sikkerhedsrettelser. Planen for opdatering af PHP er uændret.