CVE-2026-109618 och CVE-2026-109619
Genom två nya sårbarheter i PHP 8.2 till 8.5 kan angripare köra egen kod på din butiksserver utan att logga in och komma åt kunddata och betalningar. De drabbar nätbutiker på WooCommerce, Magento, PrestaShop, Shopware, OpenCart och andra PHP-system. SecureCommerce brandvägg blockerar attackerna innan de når din butik, även medan PHP-uppdateringen ännu inte är gjord.
Brandväggen stoppar attackerna även om din server fortfarande kör den gamla PHP-versionen.
Du testar PHP-uppdateringen i lugn och ro och installerar den när det passar, i stället för att patcha under press mitt i natten.
Du behöver inte konfigurera något. De självlärande filterreglerna i SecureCommerce brandvägg anpassar sig automatiskt till nya attacker.
När PHP får slut på minne avbryts den pågående bearbetningen tvärt. I vissa lägen har förfrågans minne då ännu inte initierats. Den efterföljande städningen arbetar vidare med dessa odefinierade data, och det kan utnyttjas för att smuggla in kod.
Globalt tillstånd i PHP kan fortsätta peka på minne som redan frigjorts när en förfrågan avslutats. Senare förfrågningar läser dessa inaktuella data innan de återställs, vilket också kan leda till att främmande kod körs.
Den som kan köra kod på butiksservern kommer åt kunddata och betalningsgränssnitt. Angriparen kan ändra leveransadresser, skicka kunder till falska betalsidor eller lämna skadlig kod efter sig.
Sårbarheterna finns i PHP självt, inte i en enskild e-handelsplattform. Det som avgör är vilken PHP-version din butik kör. Endast dessa versioner är säkra:
| PHP-gren | Säker från version |
|---|---|
| PHP 8.2 | PHP 8.2.35 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.5 | PHP 8.5.12 |
Därmed är varje PHP-baserad e-handelsplattform drabbad så länge PHP på servern inte uppdaterats: WooCommerce, Magento, Shopware, PrestaShop, OXID eShop, JTL-Shop, Gambio, xt:Commerce, OpenCart, Zen Cart och osCommerce.
PHP 8.1 och äldre versioner som PHP 7.4 nämns inte i de officiella meddelandena. De får dock inga säkerhetsuppdateringar alls längre, inte heller för framtida sårbarheter. För butiker på föråldrad PHP är en brandvägg framför butiken det viktigaste skyddslagret tills en uppgradering är möjlig.
Den aktiva PHP-versionen hittar du i webbhotellets kontrollpanel, i butikens administration, via phpinfo() eller på kommandoraden med php -v. Kontrollera alla servrar, även staging- och testmiljöer.
Uppdatera till PHP 8.2.35, 8.3.36, 8.4.27 eller 8.5.12 och starta om PHP-processerna. Enligt PHP-teamet är uppdateringen den enda fullständiga åtgärden. Vid delat webbhotell måste leverantören rulla ut uppdateringen.
Om du inte kan uppdatera direkt rekommenderar PHP-teamet att begränsa förfrågningar innan de når PHP: begränsa förfrågningarnas storlek, antal indatavariabler, nästlingsdjup och uppladdningar, och blockera multipart-förfrågningar där butiken inte behöver dem.
SecureCommerce brandvägg blockerar attacker mot båda sårbarheterna. Tack vare plug-and-play-integration är din butik snabbt ansluten.
SecureCommerce brandvägg skyddar din butik mot de här sårbarheterna och mot nästa. Tack vare plug-and-play-integration är butiken snabbt ansluten, och SecureCommerce driver den som en hanterad tjänst.
Förfrågningar filtreras innan de når butiksservern. Självlärande filterregler håller misstänkt trafik borta från PHP.
Ingår i paketen Pro och Plus: skydd mot nyligen publicerade sårbarheter, även innan du hunnit uppdatera dina system.
Kontinuerlig övervakning av dina butiks- och databasservrar, så att avvikelser upptäcks tidigt.
Upptäckt, blockering och borttagning av inplanterad skadlig kod på dina servrar.
På begäran kontrollerar vi din butik utan förpliktelser och kommer överens med dig om vilket skydd som passar.
SecureCommerce brandvägg avvärjer överbelastningsattacker och skadliga botar så att din butik förblir tillgänglig.
Ja. SecureCommerce brandvägg blockerar attacker mot båda sårbarheterna innan de når PHP.
Ja, om den kör PHP 8.2 före 8.2.35, 8.3 före 8.3.36, 8.4 före 8.4.27 eller 8.5 före 8.5.12. Det gäller oavsett e-handelsplattform.
Sårbarheterna finns i PHP, inte i e-handelsplattformen. Det är PHP på servern som behöver uppdateras. En patchuppdatering inom samma gren, till exempel från 8.3.x till 8.3.36, påverkar normalt inte butikens kompatibilitet.
PHP 7.4 och alla versioner upp till 8.1 nämns inte i de officiella meddelandena. De får dock inga säkerhetsuppdateringar längre, inte heller för framtida sårbarheter. Planera en uppgradering och sätt en brandvägg framför butiken fram till dess.
Skicka oss butikens URL via kontaktformuläret. På begäran kontrollerar vi din butik utan förpliktelser och skickar en offert på ett lämpligt skyddspaket, från 49 € per månad.
Skicka oss butikens URL. Vi kontrollerar din butik utan förpliktelser och återkommer via e-post med en offert.
Begär skydd