Gå til indhold

<< Tilbage til sikkerhed


Nyt kritisk sikkerhedshul i PHP og
hvad det betyder for jeres OS2-løsning


Udgivet 23.10.2026 · Alvorlighed: Kritisk · Berørte produkter: OS²Forms, OS²Udoglær og OS²Display (applikationskildekoden ikke påvirket)


Opsummering

OS2-applikationskildekoden til OS²Forms, OS²Udoglær samt OS²Display er IKKE påvirket.

Men det er vigtigt at spørge jeres hosting-leverandør, om jeres OS2-løsning kører på en server eller i en container, der er opgraderet i henhold til versionstabellen nedenfor.


Baggrund

Den 21.10.2026 offentliggjorde PHP-projektet to alvorlige sårbarheder, CVE-2026-109618 og CVE-2026-109619, samlet navngivet php2shell. Sårbarhederne påvirker selve PHP-kernen, som OS²Forms, OS²Udoglær og OS²Display kører ovenpå, og en angriber kan i værste fald få fjernadgang til serveren uden at skulle logge ind.

At en løsning kører med PHP er i sig selv ikke et tegn på, at nogen er trængt ind. Der findes rettelser til de fire seneste versioner, men kører løsningen på PHP 8.1 eller ældre, findes der IKKE nogle officielle rettelser fra PHP.


Læs mere: Alvorligt sikkerhedshul får hjemmesider verden over til at lukke — Version2, 21.10.2026


OS2-applikationskildekoden er ikke påvirket

Sårbarhederne påvirker ikke den kildekode, de PHP-baserede OS2-løsninger (OS²Forms, OS²Udoglær og OS²Display) består af. Formularer, forløb, moduler, skærme osv. skal derfor ikke ændres, og der kommer ingen sikkerhedsrettelse til selve OS2-applikationskildekoden som følge af sagen. Eventuelle sikkerhedsopdateringer skal ske på selve PHP-kernen dér, hvor jeres løsning kører i produktion.


Hvem sørger for hvad?

System

Ansvarlig
OS2-applikationskildekoden Ikke påvirket. Ingen handling nødvendig.
PHP-kernenHosting-leverandørens ansvar. Rettelser findes, men skal installeres, og serveren skal genstartes.


Hvordan tjekker jeg, om vores hosting er sikker?

For at være sikker og have ro i maven, kan I bede jeres hosting-leverandør om følgende oplysninger:

  1. Hvilken PHP-version kører webserveren lige nu? Spørg efter versionsnummeret fra kørsel af php-fpm, ikke php -v.

  2. Spørg efter det fulde versionsnummer med alle tre cifre, og find det i tabellen nedenfor. »Vi kører PHP 8.4« er ikke nok: 8.4.26 indeholder f.eks. stadig sårbarhederne.

  3. Er serveren genstartet efter opdateringen, så gamle processer ikke kører videre med en sårbar version?

Er svaret en version i 8.2 eller nyere, kan nedenstående tabel bruges til at bekræfte, at hosting-leverandøren er sikret. Versionsnummeret skal mindst være:

PHP-version Mindst
8.5 8.5.12
8.4 8.4.27
8.3 8.3.36
8.2 8.2.35

Er svaret PHP 8.1 eller ældre, findes der ingen officielle rettelser. Rettelsen kan muligvis alligevel være kommet ind via operativsystemets opdateringer, men det kan kun jeres hosting-leverandør bekræfte. Den sikreste standard er en af de rettede versioner i tabellen ovenfor.


Mulige faldgruber

Der er en række situationer, som det er vigtigt at være opmærksom på, hvis man vil være sikker på, at hosting-leverandøren ikke er sårbar.

Du føler dig sikker fordi: Din kørende løsning kan stadig være sårbar fordi:
»Vi har opdateret vores OS²-løsning og alle modulerne til seneste version« Den sårbare kode ligger i PHP-kernen nede under løsningen. Opdateringer til selve applikationsmodulerne lukker desværre IKKE sikkerhedshullerne.
»Der er kørt en systemopdatering, der indeholdt en rettet version af PHP« De kørende PHP-processer kan stadig være en af de sårbare versioner, indtil serveren eller applikationscontaineren er genstartet og versionen verificeret.
»Vi er bag en firewall« Netværksblokeringer KAN bremse kendte angrebsmønstre midlertidigt, men det er ikke en permanent løsning, og det vil blot være et spørgsmål om tid, før angribere tilpasser deres metoder.
»Min leverandør siger, at php -v viser en opdateret version« Det er kommandolinjens versionsnummer. Webserveren kan køre en anden version. Spørg i stedet efter php-fpm.


Kilder

Spørgsmål til denne bulletin kan sendes til security@os2.eu