Kritisk PHP-hul, LiteLLM kompromitteret og 104 sårbare pakker

Kort fortalt

• Opdater PHP til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 i dag for at lukke PHP2Shell-sårbarhederne.
• Tjek om litellm 1.107.0 er installeret, og skift straks til 1.106.2.
• 23 udbredte pakker har kritiske huller, bl.a. openclaw, pillow, @vitest/browser, next, handlebars, tinypool.
• 6 pakker har huller uden rettet version, og 4 har ikke fået en commit i over et halvt år.
• .NET 9 (10. nov. 2026), .NET 8 (10. nov. 2026), PHP 8.2 (31. dec. 2026) mister snart sikkerhedsrettelser.

Dagens sager

PHP2Shell: kritiske PHP-huller lukket med nødopdatering

Php-udviklerne har udsendt en nødopdatering, der lukker to kritiske sårbarheder, CVE-2026-109618 og CVE-2026-109619, kendt samlet som PHP2Shell. Begge har en CVSS-score på 9.2 og gør det muligt for en angriber uden login at køre kode på en webserver, ifølge den officielle sikkerhedsadvisory fra php.net.

Sårbarhederne rammer PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Fejlene er rettet i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Php.net skriver, at kun en opdatering giver fuld beskyttelse; midlertidige konfigurationsændringer kan reducere risikoen, men ikke fjerne den.

LiteLLM kompromitteret på PyPI med bagdør i version 1.107.0

Python-pakken litellm blev kompromitteret på PyPI den 21. oktober, da version 1.107.0 blev udgivet med skadelig kode i alle syv wheel-filer og i de officielle Docker-images under tags som latest og v1.107.0, ifølge StepSecuritys gennemgang af sagen.

Koden stjal loginoplysninger, ssh- og gpg-nøgler, cloud- og ci-adgang samt api-nøgler, og den satte desuden en baggrundsproces op, der hver time tjekker en ekstern adresse for ny kode at hente og køre. Udgivelsen kom fra et efterligningsrepository, og BerriAI fjernede den fra både PyPI og Docker Hub samme dag. Den sikre version er 1.106.2; alt, der har haft 1.107.0 installeret, bør skifte version og rotere alle adgangskoder og nøgler.

Kritiske huller i udbredte pakker

Disse 23 pakker har mindst én kritisk sårbarhed i ældre versioner. Kolonnen Opdater til er den nyeste stabile version, som indeholder alle kendte rettelser. Seneste commit viser, hvornår der sidst blev arbejdet i projektets kildekode, så du kan se, om det bliver vedligeholdt.

Overblikket i tal

npm fylder mest, fordi en typisk JavaScript-app trækker hundredvis af indirekte afhængigheder med sig. De fleste af hullerne sidder i pakker, du aldrig selv har valgt, men som kommer ind gennem et framework eller et byggeværktøj. Derfor skal du opdatere lockfilen, ikke kun dine direkte afhængigheder.

Uden rettelse eller uden vedligehold

Det farligste på listen er ikke de kritiske huller med en rettet version. Det er pakkerne, hvor der ikke findes nogen rettelse, eller hvor ingen længere arbejder på koden.

4 af 103 pakker har ikke haft en commit i over et halvt år. 76 har fået en commit inden for den seneste måned, så for dem handler det kun om at opdatere.

Platforme uden sikkerhedsrettelser

En opdateret pakke hjælper ikke, hvis platformen under den ikke længere får rettelser. PHP 8.1, Node.js 20, MySQL 8.0 er allerede ude af support. .NET 9 (10. nov. 2026), .NET 8 (10. nov. 2026), PHP 8.2 (31. dec. 2026) følger snart.

Datoerne er fra endoflife.date, tjekket 22. oktober 2026.

Alle pakker med høje sårbarheder

De resterende 80 pakker har ingen kritiske huller, men mindst ét højt. Søg på din pakke med Ctrl+F.

Hvad du skal gøre i dag

1. Opdater PHP til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 for at lukke PHP2Shell-sårbarhederne.
2. Fjern litellm 1.107.0, hvis den er installeret, og skift til version 1.106.2.
3. Rotér adgangskoder, ssh- og gpg-nøgler samt cloud- og api-nøgler på enhver maskine, der har haft litellm 1.107.0 installeret.
4. Blokér trafik til litellm.dev, hvis adressen optræder i logs.
5. Kør revisionsværktøjet for dit økosystem: npm audit, composer audit eller pip-audit. De bygger på de samme typer advisory-databaser som denne side.
6. Opdater lockfilen, ikke kun dine direkte afhængigheder. De fleste huller sidder i indirekte pakker.
7. Erstat det, der ikke vedligeholdes. En pakke uden commits i et år får heller ikke rettet det næste hul.

Metode og kilder

Pakkelisten bygger på advisories fra OSV.dev, som samler GitHub Security Advisories, PyPA, RustSec og flere, og CISA's liste over aktivt udnyttede sårbarheder. Sårbarhederne er vurderet efter advisoryens egen alvorlighed (kritisk eller høj). Listen er fundet ved at scanne typiske PHP-, Node.js- og Python-stakke, så den er ikke en komplet liste over alle sårbare pakker. Datoen for seneste commit er hentet fra hvert projekts kildekode-repo. Versionen under Opdater til er den nyeste stabile udgivelse i registret (npm, PyPI, Packagist eller crates.io), som indeholder alle kendte rettelser. Hvert advisory-ID kan slås op på osv.dev. Kilder til dagens sager: PHP.net sikkerhedsadvisory, StepSecurity, PyPI (litellm).