I onsdags höll en decennier gammal webbteknologi med öppen källkod som heter PHP på att krascha internet, tack vare två sårbarheter som legat vilande i åratal tills forskare nyligen listade ut ett sätt att utnyttja dem. Buggarna har döpts till PHP2Shell, officiellt betecknade CVE-2026-109618 och CVE-2026-109619. I enkla ordalag tillåter buggarna vem som helst som vet hur man utnyttjar dem att bryta sig in i ett onlinesystem som kör PHP, till exempel en webbplats eller en internetserver, utan att behöva ett lösenord för att komma åt eller ändra dess data. Som situationer går var detta en ganska rejäl en, som tvingade miljontals människor runt om i världen att skynda sig att lappa sina system innan illvilliga hackare kunde utnyttja dem.

PHP Foundation, som underhåller PHP-webbprogramvaran, släppte offentligt patchar i onsdags som åtgärdade buggarna, vilka när de installeras förhindrar att webbexponerade servrar attackeras. Stiftelsen hade redan gett några av de största internetföretagen och webbhotellen som förlitar sig på PHP ett tidigt försprång med patchning. Tack vare veckor av diskussioner bakom kulisserna och noggrann samordning över branschen undvek världen – hittills – i stort sett massutnyttjande på internet. Från och med onsdagen började regeringar uppmana medborgare och företag med webbplatser att vidta åtgärder för att mildra riskerna på sina håll. En lång rad branscher stängde sina webbplatser och tog tjänster offline för att lappa sina system. Banker, detaljhandlare, spelsajter, nätbutiker, sjukhus och vissa statliga myndigheter tog ner sina servrar för att förhindra attacker. Men säkerhetsforskare varnar för att situationen inte är över ännu, och att ett stort antal system runt om i världen fortfarande är oplappade och sårbara för hack och datastöld. Detta är inte heller sannolikt den sista stora skräcken för internetprogramvara, och vissa förväntar sig att AI:s intåg snabbt ska avslöja ännu oupptäckta sårbarheter som väntar på att hittas och utnyttjas.

Säkerhetsforskare på Calif hittade två buggar i PHP, ett programmeringsspråk som används flitigt över hela världen för att bygga webbplatser och webbappar, både på internet och lokalt på företagsnätverk, som intranät och interna webbplatser. PHP är öppen källkod, vilket innebär att det är gratis och tillgängligt för alla att använda för nästan vilket ändamål som helst. Som sådant har det blivit ett av de mest populära och mest använda webbprogrammeringsspråken på webben idag. De två buggarna upptäcktes först 2024 men ansågs inte utnyttjbara då, och patchades inte. Säkerhetsforskare hittade nyligen ett sätt att utnyttja dem, vilket fick dem att larma tillverkarna av programvaran för att få dem åtgärdade. Calif larmade PHP Foundation, som inledde en period av buggfixning och samordnad offentliggörande. Stiftelsen gjorde detta genom att erbjuda informationen och patcharna om säkerhetsproblemen under en hårt bevakad embargo – i huvudsak hemlighållet till en specifik deadline – för att ge stora företag en möjlighet att ligga steget före med att installera åtgärderna.

PHP2Shell är ganska allvarligt eftersom det kan utnyttjas på distans över internet och utan att offret behöver klicka på en länk eller öppna en fil. Detta kallas fjärrkodkörning, och det är en av de mer skadliga typerna av buggar att utnyttja eftersom de kan ge en hackare var som helst i världen i praktiken full kontroll över ett drabbat och oplappat system. Värre är att dessa specifika PHP-buggar gör det möjligt att bryta sig in i vilket oplappat system som helst på internet utan att behöva ett lösenord eller någon annan autentiseringsuppgift över internet, känt som oautentiserad åtkomst. Detta skulle tillåta en illvillig hackare att sedan plantera skadlig programvara på datorn, till exempel för att stjäla data eller helt enkelt för att upprätthålla ett långsiktigt fotfäste som de kan återvända till senare.

Buggarna är särskilt riskfyllda eftersom PHP är vilt populär programvara, delvis för att den är gratis och relativt lätt att använda, men också för att den har funnits i decennier. Runt 70 % av den webbexponerade internetanvändningen förlitar sig på PHP, även om användningen långsamt har minskat genom åren till förmån för nyare