Webbplatsen och kundgränssnittet efter 14 minuter, webbhotellsservrarna efter 27 minuter: Så här agerade vi på PHP-uppdateringarna den 21 oktober.
Vid säkerhetsbrister räknas varje timme! ⚡️ Den 21 oktober 2026 släppte PHP-projektet säkerhetsuppdateringar för två kritiska sårbarheter (CVE-2026-109618 och CVE-2026-109619). Under vissa förutsättningar kunde angripare utnyttja dem för att på distans köra egen kod på en webbserver med PHP. Det här är inte ett problem som är specifikt för ZAP-Hosting: PHP används bakom en stor del av internet, och sårbarheterna påverkar webbplatser och webbservrar i hela hostingbranschen.
- Typ av sårbarhet: Remote Code Execution, det vill säga att köra främmande kod på servern genom en manipulerad förfrågan.
- Åtgärdade i: PHP 8.2.35, 8.3.36, 8.4.27 och 8.5.12.
- Utan åtgärd: PHP-projektet tillhandahåller inte längre säkerhetsuppdateringar för PHP 8.1 och äldre versioner, och därför finns det inte heller någon korrigering för dessa sårbarheter.
Uppdateringarna hade annonserats i förväg. Vårt infrastrukturteam använde tiden till att kartlägga våra system som kör PHP: från webbplatsen och kundgränssnittet till webbhotellsservrarna, phpMyAdmin-gränssnitten för våra databastjänster och interna tjänster. Innan uppdateringarna släpptes aktiverade vi tillfälliga skyddsinställningar och ytterligare filterregler i nätverkets kant. På så sätt begränsades den kända angreppsvektorn redan innan sårbarheterna åtgärdades.
Eftersom allt var förberett gick det snabbt efter lanseringen: vår webbplats och kundgränssnittet körde den nya versionen efter cirka 15 minuter, och webbhotellsservrarna efter knappt en halvtimme. Även under tidspress gick vi steg för steg och testade varje ändring först. Våra övriga system uppdaterades senare samma dag.
Vi uppgraderade webbhotellskonton som fortfarande använde PHP 7.4, 8.0 eller 8.1 till PHP 8.2, eftersom det inte finns någon korrigering för dessa äldre versioner. Vi informerade om detta via serviceaviseringar i kundgränssnittet och via e-post. De flesta webbplatser fortsätter att fungera utan några ändringar. Om din applikation behöver anpassas för den nyare PHP-versionen hjälper vår support dig gärna.
Våra uppdateringar omfattar de tjänster som vi hanterar åt dig. På din egen VPS, dedikerade server eller något annat system som du driver själv ansvarar du för den installerade programvaran, oavsett om systemet finns hos oss, hos en annan leverantör eller hemma. Om PHP körs någonstans där, till exempel för en webbplats, ett forum, en panel eller i en Docker-container, bör du kontrollera det nu:
- Kontrollera vilken PHP-version som körs på din server. Versionerna 8.2.35, 8.3.36, 8.4.27 och 8.5.12 eller senare innehåller korrigeringarna.
- Installera uppdateringarna själv via operativsystemets pakethanterare.
- Docker-containrar med PHP: hämta de senaste avbildningarna eller bygg om dem och starta om containrarna. En uppdatering av värdsystemet uppdaterar inte PHP i containern.
- Starta om PHP-FPM eller webbservern efteråt, så att de aktiva processerna verkligen använder den nya versionen.
- Om du fortfarande kör PHP 8.1 eller äldre bör du planera en uppgradering till en version som stöds. Dessa versioner får inte längre några korrigeringar.
Det här är inte en engångsföreteelse. I augusti säkrade vi vår KVM-infrastruktur mot Zapscape och Januscape, två sårbarheter som under vissa förutsättningar kunde göra det möjligt för en virtuell maskin att ta sig ur sin isolering. Principen är densamma varje gång: bedöm snabbt, säkra omedelbart och installera korrigeringen så snart en stabil lösning finns tillgänglig. Säkerhetsforskningen står aldrig stilla – och det gör inte heller vårt arbete för säkra tjänster.
Föredragen källa hos Google
