Kritiska PHP-sårbarheter: Detta behöver du som använder Business Central veta

Två kritiska säkerhetsbrister har identifierats i PHP: CVE-2026-109618 och CVE-2026-109619. Sårbarheterna kan under vissa förutsättningar göra det möjligt för en obehörig angripare att köra kod på en server som använder en sårbar PHP-version. De berör PHP som används för att hantera webbförfrågningar och har fått allvarlighetsgraden 9,2 av 10 enligt CVSS 4.0. 

För dig som använder Microsoft Dynamics 365 Business Central finns det framför allt en viktig sak att känna till: Business Central påverkas inte direkt av sårbarheterna, men andra system som är integrerade med Business Central kan göra det.

Business Central påverkas inte direkt

En standardinstallation av Microsoft Dynamics 365 Business Central använder inte PHP för sina standardkomponenter. Därför är det inte Business Central i sig som står i fokus för dessa säkerhetsbrister.

Däremot finns PHP i många andra typer av webbapplikationer och lösningar. Därför bör företag som använder Business Central kontrollera de system som finns runt omkring affärssystemet.

Det kan exempelvis handla om:

• webbplatser och webbshoppar, exempelvis WordPress eller WooCommerce
• kund- och leverantörsportaler
• specialbyggda integrationer
• andra webbaserade applikationer
• vissa hosting- och administrationsverktyg.

Om en sådan lösning är integrerad med Business Central kan den ha tillgång till data eller behörigheter i affärssystemet. En komprometterad ansluten lösning kan därför innebära en indirekt risk även om Business Central i sig inte är sårbart.

Vad bör du göra nu?

Det viktigaste är att ta reda på var PHP används i organisationens IT-miljö.

Vi rekommenderar att ni kontaktar er IT-avdelning, hostingpartner eller systemleverantör och kontrollerar om ni har lösningar som använder PHP. Prioritera särskilt system som är tillgängliga från internet.

Om PHP används behöver installationen uppdateras mot båda de aktuella sårbarheterna.

PHP har släppt korrigeringar i versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35. För äldre PHP-versioner kan situationen se annorlunda ut eftersom flera versioner inte längre stöds officiellt. 

Det är också viktigt att skilja mellan PHP och applikationen som använder PHP. Att exempelvis uppdatera WordPress, ett plugin eller Business Central innebär inte automatiskt att den underliggande PHP-installationen har uppdaterats.

Var extra vaksam på phishing

Kritiska säkerhetsbrister brukar också utnyttjas i phishingförsök.

Var därför extra försiktig med mejl och meddelanden som hänvisar till PHP-sårbarheten och uppmanar dig att exempelvis klicka på en länk, installera en säkerhetsuppdatering eller lämna dina inloggningsuppgifter.

Använd era vanliga och betrodda kanaler för säkerhetsuppdateringar.

Har COSMO CONSULT påverkats?

COSMO CONSULTs Security Operation Center, Core IT Team och Customer IT Service Team agerade omgående när informationen om sårbarheterna blev känd.

Potentiellt berörda system identifierades och internetexponerade servrar togs som en försiktighetsåtgärd offline eller kopplades bort från internet medan de kontrollerades och uppdaterades.

I nuläget har vi inga indikationer på att våra system har utsatts för en lyckad attack.

Är du osäker på om din Business Central-miljö kan vara berörd?

Även om Business Central inte påverkas direkt kan det finnas webbplatser, webbshoppar, portaler eller integrationer runt affärssystemet som använder PHP.

Kontakta COSMO CONSULT om du är osäker. Vi hjälper dig gärna att reda ut vad som gäller för just er lösning.