Myndigheter i Nederländerna, Frankrike, Danmark och Finland stängde ner sajter och tjänster på onsdagen. De två PHP-hålen har fått betyget 9,2 av 10, tillåter kodkörning utan inloggning – och försök att utnyttja dem har redan upptäckts.
I går skrev vi att hålen blivit offentliga och att kapplöpningen därmed startat. Nu vet vi hur allvarliga de är.
Vad bristerna faktiskt gör
De två sårbarheterna har beteckningarna CVE-2026-109618 och CVE-2026-109619. Båda är satta till 9,2 av 10 på den skala som används för att gradera säkerhetsbrister.
Båda tillåter unauthenticated remote code execution – en angripare kan köra egen kod på en sårbar server utan att först skaffa inloggningsuppgifter.
PHP-teamet släppte akuta uppdateringar på onsdagen för versionerna 8.2 till 8.5, och var tydliga med att det inte finns några fullgoda alternativa skyddsåtgärder. Uppdatera, var beskedet.
Vilka som stängde ner
Nederländerna drabbades hårdast. Landets nationella cybersäkerhetscenter tog ner sin egen webbplats i förebyggande syfte. Samma sak gjorde Rotterdams hamn, myndighetsportalen Overheid.nl, fotbollsförbundet KNVB, webbplatserna för landets fem största politiska partier, och flera sjukhus.
Danmark: det kommunala it-bolaget Kombit stängde av flera tjänster, bland dem en nationell plattform för skolkommunikation.
Finland: statens it-leverantör Valtori tog ner myndigheternas tjänster i det publika nätet.
Frankrike: inrikesministeriet satte samtliga sina webbplatser i förebyggande underhållsläge.
Det stannade inte vid myndigheter. Wikipedias operatör stängde av ett okänt antal system tills uppdateringarna kunde läggas in säkert, och Internet Archive var kortvarigt nere.
Japans premiärminister Sanae Takaichi uppmanade webbplatsoperatörer att kontrollera om deras tjänster använder PHP.
Omfattningen
PHP används av omkring 75 procent av de webbplatser där serverspråket går att identifiera, enligt W3Techs siffror som Reuters hänvisar till.
Internetanalysföretaget Censys såg att cirka 1,5 miljoner av 2,6 miljoner upptäckta servrar körde PHP-versioner som då ännu inte hade någon rättning tillgänglig.
Tiffany Farriss, tillförordnad vd för Drupal Association, varnade för att PHP-servrar med versioner släppta under de senaste två decennierna kan vara utsatta.
Det här är den intressanta delen
Hålen hade legat gömda i PHP:s kod i mer än tio år. De hittades av två oberoende forskargrupper – båda med hjälp av artificiell intelligens.
Säkerhetsföretaget Calif uppger för Reuters att man hittade bristerna med hjälp av en språkmodell den 1 augusti och arbetat med åtgärder sedan dess.
Alphabet-ägda Wiz hittade dem separat med Wiz Atlas, företagets självgående AI-system för säkerhetsforskning, tillsammans med Googles Gemini 4 Argon och OpenAI:s GPT-5.6 Sol.
Wiz konstaterar att den sårbara koden funnits i över tio år, och att det före de senaste AI-framstegen hade krävt mycket komplicerat arbete av mänskliga forskare att hitta och utnyttja den.
Det är värt att stanna vid. Tio år av mänsklig granskning missade det. Två AI-system hittade samma sak, oberoende av varandra, inom samma period.
Vad du ska göra
Har du bara dator och telefon: fortfarande ingenting. Det här drabbar servrar, inte din enhet.
Driver du en webbplats är läget allvarligare i dag än i går. Två saker:
- Fråga ditt webbhotell rakt ut vilken PHP-version ditt konto kör och när den senast uppdaterades. Rätt svar är 8.2.35, 8.3.36, 8.4.27 eller 8.5.12 – eller senare.
- Kör du PHP 8.1 eller äldre finns ingen rättning. De versionerna är utanför support. Då är enda vägen att byta till en nyare version.
Varför det här är ett argument för AI, inte emot
Nyheten läses lätt som skrämselhistoria: AI hittade ett hål som la halva Europas myndighetssajter i mörker. Men det är fel slutsats av samma händelse.
Koden hade legat där i över tio år. PHP är öppen källkod – vem som helst har kunnat läsa den, och tiotusentals utvecklare har gjort det. Ändå gick bristerna obemärkta genom decennier av mänsklig granskning.
Frågan är inte om någon skulle hitta dem. Frågan är vem som hittar dem först.
Den här gången var det två säkerhetsföretag som rapporterade in sina fynd och arbetade tillsammans med PHP-teamet i veckor innan något offentliggjordes. Calif hittade bristerna den 1 augusti. Rättningen kom den 21 oktober. Det är nästan tre månader av tyst arbete för att en lagning skulle finnas färdig samma dag som problemet blev känt.
Alternativet är obehagligt: att den som först riktade ett AI-system mot PHP:s källkod hade varit någon som inte tänkte berätta.
Det är den verkliga förändringen. Att leta sårbarheter i stora kodbaser har gått från att kräva en specialist och månader av arbete till något en maskin kan göra i bakgrunden. Den förmågan finns nu på båda sidor. Skillnaden ligger i vem som använder den mest systematiskt – och snabbast.
Hur det såg ut hos oss
Ett konkret exempel, eftersom abstrakta resonemang om cybersäkerhet sällan säger någon någonting.
ThaiPuls körs på egna servrar. Driften sköts av AI-agenter med serveråtkomst, och det var de som hanterade det här – på natten mellan onsdag och torsdag, medan rättningen fortfarande var några timmar gammal.
Tre uppdateringsomgångar kördes klockan 23.07, 23.13 och 03.49. PHP gick från 8.3.24, byggd i augusti förra året, till 8.3.36 – versionen som innehåller båda rättningarna. Webbservern startades om, och sajten du läser det här på körde den lagade versionen innan de flesta hunnit läsa nyheten.
Det är inte en bedrift i sig. Det är precis vad en serveradministratör ska göra. Poängen är att det blev gjort på timmar i stället för veckor, utan att någon behövde vara vaken.
Och det är därför de nederländska myndigheterna fick stänga ner. När man inte hinner uppdatera är det enda återstående skyddet att dra ur sladden.
Vår artikel från i går: Kritiskt säkerhetshål i PHP – men hålet är inte nytt.
Källor
- The Nation Thailand – AI-discovered PHP flaws force government websites offline across Europe, 22 oktober 2026. Uppgifterna om vilka myndigheter som stängde ner, CVE-numren och allvarlighetsgraden.
- Reuters – nyhetsbyrån bakom rapporteringen som The Nation bygger på. Där kommer också siffrorna från W3Techs om PHP:s utbredning, Censys mätning av sårbara servrar, samt uppgifterna från säkerhetsföretagen Calif och Wiz.
- php.net – ChangeLog för PHP 8. Primärkällan för vilka versioner som innehåller rättningarna. Vi har kontrollerat att 8.2.35, 8.3.36, 8.4.27 och 8.5.12 samtliga listar de två säkerhetsrådgivningarna GHSA-w8hw-w9fx-j79w och GHSA-6wmf-4rv5-p3rp.
- Egna kontroller. Versionsnummer, byggdatum och uppdateringstider för ThaiPuls egna servrar är avlästa direkt på servern den 22 oktober 2026.
Reuters artikel ligger bakom inloggning och går inte att läsa fritt, därför länkas den inte.
Av: Bernt Johansson
67 år lever i Thailand
