Två kritiska säkerhetssårbarheter i PHP har satt fokus på en fråga som berör fler än utvecklare och IT-avdelningar: Hur bra koll har vi egentligen på de system som verksamheten är beroende av? När AI dessutom gör det enklare att bygga mjukvara i allt högre tempo blir det ännu viktigare att förstå vad vi bygger, hur det fungerar och hur vi håller det säkert över tid.

Den 21 oktober 2026 publicerades säkerhetsuppdateringar för två allvarliga sårbarheter i PHP, ett av de mest använda programmeringsspråken för webbplatser och webbapplikationer. Sårbarheterna, CVE-2026-109618 och CVE-2026-109619, har båda fått allvarlighetsgraden 9,2 av 10 enligt CVSS. Under vissa förutsättningar kan de göra det möjligt för en angripare att köra skadlig kod på en sårbar server utan att ens behöva logga in.

CERT-SE uppmanar berörda organisationer att skyndsamt uppdatera sina miljöer och undersöka eventuella tecken på intrång. Men incidenten påminner oss också om något större. 

Vet du vad din mjukvara faktiskt består av?

Dagens IT-miljöer är sällan enkla. Bakom en webbplats eller applikation finns ofta ramverk, bibliotek, integrationer och tredjepartskomponenter som tillsammans får allt att fungera. När en kritisk sårbarhet upptäcks behöver man snabbt kunna svara på några grundläggande frågor: Vilka system påverkas? Var finns de sårbara komponenterna? Vem ansvarar för att åtgärda dem? 

Det låter självklart. Men i praktiken är det inte alltid så enkelt. Äldre applikationer kan fortfarande vara affärskritiska. System kan ha bytt både ägare och leverantör. Dokumentation kan vara inaktuell och tekniska beroenden kan finnas på platser som ingen längre har full insyn i.

”En av de största utmaningarna vid den här typen av incidenter är att snabbt förstå vilka system som faktiskt påverkas för att prioritera rätt. Även om ditt system innehåller koden där sårbarheten finns, så är det inte säkert att systemet är direkt påverkat. Förståelse för hur komponenter används i just ditt system är här helt avgörande – Jonny Lundell, Konsultchef på Softhouse.”

När sårbarheter upptäcks blir tiden avgörande

När en kritisk sårbarhet blir känd kan tiden mellan upptäckt och åtgärd vara avgörande. Angripare kan snabbt analysera publicerad information och försöka utnyttja sårbara system, ibland innan organisationer hunnit uppdatera sina miljöer.

AI kan dessutom bidra till att snabba upp delar av arbetet, både för dem som försöker skydda sina system och för dem som söker efter svagheter att utnyttja. Det innebär inte att varje sårbarhet automatiskt kan exploateras med AI, men det understryker hur viktigt det är att kunna agera snabbt.

Därför börjar ett bra säkerhetsarbete långt innan en incident inträffar. Med kontroll över system och beroenden, tydliga ansvarsområden och etablerade rutiner för uppdateringar och incidenthantering blir det lättare att prioritera rätt åtgärder när tiden är knapp.

AI förändrar hur vi bygger mjukvara. Inte ansvaret för den.

AI förändrar redan hur vi utvecklar mjukvara. Vi kan bygga, testa och experimentera snabbare än tidigare. Det öppnar möjligheter för fler att omsätta idéer till fungerande digitala lösningar. Men en applikation som fungerar är inte automatiskt säker eller byggd för att hålla över tid. Oavsett om koden skrivs av en utvecklare eller genereras med AI behöver vi förstå arkitekturen, beroendena och de tekniska valen bakom. 

AI-genererad kod kan dessutom innehålla fel som inte alltid är uppenbara vid första anblick. En särskild utmaning är när man litar på AI:s resultat utan att granska dem tillräckligt noggrant. Därför behöver AI användas tillsammans med teknisk kompetens, kritiskt tänkande och etablerade metoder för kvalitetssäkring.

”AI ger oss fantastiska möjligheter att utveckla mjukvara snabbare och effektivare. Men att kunna generera kod är inte samma sak som att förstå hur ett system fungerar som helhet. Vi behöver fortfarande kunna granska, testa, förvalta och ta ansvar för det vi bygger.”

AI är också en del av lösningen

Det finns en intressant detalj i den aktuella PHP-incidenten. Enligt Google Cloud användes AI-modeller i arbetet med att identifiera och analysera sårbarheterna samt bidra till att utveckla och validera åtgärder.

Det visar en annan sida av AI-utvecklingen. Samma teknik som hjälper oss att bygga mjukvara snabbare kan också hjälpa oss att hitta svagheter, analysera kod och förbättra säkerhetsarbetet. Det handlar alltså inte om att välja mellan AI och teknisk kompetens. Det handlar om att använda AI tillsammans med rätt kunskap, metoder och erfarenhet.

Fem frågor varje organisation bör kunna svara på

För organisationer som använder PHP är den första prioriteringen att kontrollera om miljöerna påverkas och genomföra nödvändiga säkerhetsåtgärder.

Men oavsett teknik finns det några frågor som är värda att ställa:

1. Vet vi vilka system och beroenden vi har? Finns en aktuell överblick över applikationer, komponenter och tredjepartslösningar?
2. Vet vi vem som ansvarar? Är det tydligt vem som äger säkerhet, uppdateringar och förvaltning?
3. Hur arbetar vi med kvalitet och säkerhet? Är granskning och testning en naturlig del av utvecklingen, eller något vi gör när problem uppstår?
4. Har vi samma krav på AI-assisterad utveckling? Säkerställer vi att kod som utvecklas med AI granskas, testas och dokumenteras utifrån samma krav som övrig mjukvara?
5. Hur snabbt kan vi agera när något händer? Har vi rutiner för att identifiera berörda system, prioritera säkerhetsåtgärder och genomföra uppdateringar när tiden är knapp?

Tekniken förändras. Behovet av hållbar mjukvara består.

På Softhouse har vi arbetat med mjukvaruutveckling i 30 år. Under den tiden har vi sett tekniker, verktyg och arbetssätt förändras. För oss handlar bra mjukvaruutveckling om att kombinera ny teknik med erfarenhet, teknisk förståelse och genomtänkta lösningar. Det innebär att se till hela livscykeln, från de första arkitekturvalen till säkerhet, förvaltning och vidareutveckling. För det är först när tekniken fungerar i verkligheten och fortsätter skapa värde över tid som den gör verklig skillnad. 

Läs mer om de aktuella sårbarheterna

• CERT-SE: Kritiska sårbarheter i PHP
• Google Cloud: Responding to core PHP vulnerabilities
• Rapid7: Critical Remote Code Execution in PHP

*Artikeln bygger på information publicerad till och med den 22 oktober 2026. Säkerhetsrekommendationer kan förändras när ny information blir tillgänglig. Följ alltid aktuella rekommendationer och säkerhetsanvisningar från PHP, berörda systemleverantörer och CERT-SE.