Det viktigaste först

• Ni behöver inte göra något i nuläget. Om något ändras kontaktar vi er direkt med konkreta instruktioner.
• Vi har gått igenom våra loggar och vår säkerhetsövervakning från den 17 oktober till den 22 oktober kl. 11.00. Vi har inte hittat några tecken på att sårbarheterna har utnyttjats mot Heartpace eller att kunddata har påverkats.
• Uppdateringen förs fortfarande ut och vi räknar med att den är klar under fredagen.

Vad som har hänt

Den 21 oktober släppte PHP-projektet säkerhetsuppdateringar för två kritiska sårbarheter, CVE-2026-109618 och CVE-2026-109619, som kallas PHP2Shell. De berör webbservrar som kör PHP världen över och kan under vissa förutsättningar låta en angripare köra kod på en server utan att logga in. Myndigheter som CERT-SE och amerikanska CISA uppmanade alla organisationer att uppdatera omedelbart.

Vad vi har gjort

Vi började arbetet samma dag, enligt rutinerna för sårbarhetshantering i vårt ledningssystem för informationssäkerhet. Heartpace är certifierat enligt ISO/IEC 27001:2022. De första uppdaterade och testade komponenterna var klara samma kväll och resten under natten. Nu byggs varje tjänst om med de nya komponenterna, steg för steg och utan planerade avbrott.

Genomgången av loggarna

När den sista tjänsten är uppdaterad gör vi en sista kontroll av loggarna. Den täcker tiden från den 22 oktober kl. 11.00 fram till dess. Vi publicerar ett slutbesked här när den är klar, senast fredag 23 oktober kl. 16.00.

Vanliga frågor

Har vår data påverkats?

I genomgången fram till den 22 oktober kl. 11.00 har vi inte hittat några tecken på det. En sista kontroll görs när den sista tjänsten är uppdaterad. Om något visar sig beröra era uppgifter informerar vi er direkt enligt vårt personuppgiftsbiträdesavtal.

Varför byggs infrastrukturen om?

Det är så uppdateringen förs in: varje tjänst får nya komponenter med uppdaterad PHP. Det är en försiktighetsåtgärd. Vi misstänker i nuläget inget intrång.

Behöver vi göra något?

Nej, inte i nuläget. Om genomgången visar något som berör era inloggningsuppgifter eller integrationer kontaktar vi er direkt med konkreta instruktioner.

Gör ni en bedömning enligt GDPR?

Ja. Vår bedömning är att ingen personuppgiftsincident har inträffat och att ingen anmälan krävs. Vi går igenom den igen efter den sista kontrollen.

Berörs era webbplatser?

Våra webbplatser ligger separat från Heartpace-plattformen och är alla uppdaterade.

Behöver vi informera våra medarbetare?

Det avgör ni. Utifrån det vi vet i dag behöver era medarbetare inte göra något.

Vem kontaktar vi?

Er säkerhetsansvariga eller DPO når oss på support@heartpace.com. Skriv ”PHP2Shell” i ämnesraden så prioriteras ärendet.

Uppdateringar

• Den 22 oktober kl. 19.00: genomgången av loggarna fram till kl. 11.00 är klar utan fynd. GDPR-bedömningen är gjord. Uppdateringen slutförs under fredagen.
• Den 22 oktober 2026 kl. 12.00: första beskedet publicerat.

Denys Shersheniuk, CTO, Heartpace