Sikkerhetsoppdatering av PHP (CVE-2026-109618 og CVE-2026-109619)

Update timeline

1. investigating Oct 21, 2026, 01:18 PM UTC

   Vi er kjent med to kritiske sikkerhetssårbarheter i PHP (CVE-2026-109618 og CVE-2026-109619). PHP-prosjektet skal etter planen publisere rettelser i dag kl. 16:00 norsk tid, og vi installerer dem så snart de er tilgjengelige. Frem til da har vi innført midlertidige sikkerhetstiltak på webhotellplattformen vår for å beskytte nettsidene mot angrep. Dette kan du merke: Filopplasting: Vi blokkerer enkelte typer filopplastinger midlertidig. På noen nettsider kan derfor opplasting av filer via nettsiden feile, for eksempel bilder, dokumenter eller vedlegg i skjemaer. Fremdriftsindikator ved opplasting: En PHP-funksjon som viser fremdrift under filopplasting, er midlertidig slått av. Fremdriftsindikatoren kan derfor mangle. Synkronisering av kalender og kontakter (CalDAV/CardDAV): Synkronisering av kalender og kontakter til telefon og e-postprogram (som iPhone, Android, Outlook og Thunderbird) er midlertidig stengt. Kalender og kontakter er fortsatt tilgjengelige i webmailen https://uniweb.email. Tiltakene fjernes når PHP er oppdatert. Vi beklager ulempene dette kan medføre. Du trenger ikke gjøre noe, og vi oppdaterer denne siden fortløpende.

2. investigating Oct 21, 2026, 01:22 PM UTC

   Vi har midlertidig slått av phpMyAdmin for en del av kundene våre. Hvis du blir berørt, kan du ikke administrere databasene dine via phpMyAdmin så lenge tiltaket varer. Databasene fungerer som normalt, og nettsidene dine påvirkes ikke. phpMyAdmin blir tilgjengelig igjen når PHP er oppdatert. Vi beklager ulempene dette kan medføre.

3. investigating Oct 21, 2026, 03:33 PM UTC

   Vi setter disse settings på php 8.0 og 7.4 på TWS frem til det finnes annen løsning. Kunder som har TWS kan oppgradere til 8.2 eller 8.3 så fungerer file uploads igjen. session.upload_progress.enabled = 0 session.use_strict_mode = 1 file_uploads = Off

4. identified Oct 21, 2026, 05:36 PM UTC

   Sikkerhetsoppdateringen er installert for PHP 8.2 og nyere på webhotellplattformen vår. Synkronisering av kalender og kontakter (CalDAV/CardDAV) er åpnet igjen og fungerer som normalt i webmail, på telefon og i e-postprogram. PHP 8.1 og eldre versjoner (5.6–8.1) får ikke lenger oppdateringer fra PHP-prosjektet. Vi venter på egne sikkerhetsoppdateringer for disse versjonene. Frem til de er installert, beholder vi blokkeringen av enkelte typer filopplastinger. Opplasting av filer via nettsiden kan derfor fortsatt feile på enkelte nettsider. For en del av kundene våre er filopplasting slått helt av for nettsider som bruker PHP 7.4 eller 8.0. phpMyAdmin er fortsatt midlertidig slått av for en del av kundene våre. Vi oppdaterer denne siden fortløpende.

5. identified Oct 21, 2026, 07:05 PM UTC

   phpMyAdmin er tilgjengelig igjen og fungerer som normalt.

6. identified Oct 22, 2026, 06:49 AM UTC

   Sikkerhetsoppdateringen er nå installert for alle PHP-versjoner på webhotellplattformen vår: • PHP 8.2 og nyere: 21. oktober kl. 16:50 • PHP 5.6–8.1: 21. oktober kl. 23:46 Blokkeringen av filopplastinger ble fjernet 22. oktober kl. 02:26, og alle tjenester fungerer som normalt igjen. For kunder med WP.one. Sikkerhetsoppdateringen av PHP er installert på følgende cluster: • wp-cloud-europe-north1-a-1 • wp-cloud-europe-north1-a-2 • wp-cloud-europe-north1-a-3 • wp-cloud-europe-north1-a-4 • wp-cloud-europe-north1-a-5 • wp-cloud-europe-north1-a-6 Resterende cluster (a-7 til a-10) oppdateres fortløpende. Du trenger ikke gjøre noe, og vi oppdaterer denne siden når vi er ferdige. For kundene våre på TWS-plattformen er filopplasting fortsatt slått av for nettsider som bruker PHP 7.4 eller 8.0. Vi oppdaterer denne siden når dette er løst. Du får filopplasting tilbake umiddelbart ved å oppgradere nettsiden til PHP 8.2 eller nyere i kontrollpanelet.

7. identified Oct 22, 2026, 09:30 AM UTC

   Som et ekstra sikkerhetstiltak etter de kritiske sårbarhetene i PHP installerer vi phpMyAdmin på nytt. Hvis alt går som planlagt, vil phpMyAdmin være utilgjengelig i omtrent fem minutter i løpet av vedlikeholdsvinduet. Hvis du er innlogget i phpMyAdmin, må du logge inn på nytt etter vedlikeholdet. Databasene og nettsidene dine påvirkes ikke.

8. identified Oct 22, 2026, 09:55 AM UTC

   Vedlikeholdet er fullført, og phpMyAdmin er tilgjengelig igjen.

9. identified Oct 22, 2026, 10:08 AM UTC

   For kunder med WP.one: Sikkerhetsoppdateringen av PHP er nå installert på alle WP.one-clustere.

10. resolved Oct 23, 2026, 12:46 PM UTC

    Vi anser hendelsen som løst. Vi vil imidlertid fortsette å overvåke situasjonen nøye for å sikre fortsatt stabilitet. Vi har publisert en artikkel, her: https://www.uniweb.no/nyheter-sikkerhetsfeil-i-php-21-10-2026/