Stort sikkerhedshul i PHP – sådan tjekker du din hjemmeside

Onsdag den 21. oktober kom der en hasteopdatering til PHP. Det siger nok ikke ret mange noget. Men har din virksomhed en hjemmeside lavet i WordPress, så handler det her også om dig.

PHP er det, der kører inde bag din hjemmeside. Du ser det aldrig, men uden det virker siden ikke. Nu har man fundet to alvorlige fejl i det, og i værste fald kan en hacker bruge dem til at overtage hele hjemmesiden. Uden at kende din adgangskode.

Fejlene har fået navnet PHP2Shell. Det navn kan du roligt glemme igen. Det vigtige er, at det er nemt at få styr på.

Er min hjemmeside ramt?

Er den lavet i WordPress, kører den på PHP. Det gør faktisk omkring syv ud af ti hjemmesider, hvor man kan se, hvad de er bygget med. Så du er langt fra den eneste.

Har du lavet din side i Wix eller Squarespace, kan du slappe af. Der sørger firmaet bag for den slags.

Ved du ikke, hvad din side er lavet i? Så spørg den, der har lavet den. Eller skriv til os, så finder vi ud af det.

Hvor bekymret skal jeg være?

Lidt. Men ikke mere, end at du lige skal sende én mail i dag.

Fejlene har fået 9,2 på en skala til 10, og Amazon har set hackere prøve at udnytte dem. Det første forsøg, Amazon fangede, var allerede den 17. oktober. Altså fire dage før fejlene blev gjort offentlige.

Omvendt har vi ikke kunnet finde nogen, der har bekræftet et rigtigt indbrud endnu. Og de hackerværktøjer, der ligger frit på nettet, virker indtil videre kun under helt særlige forhold, skriver sikkerhedsfirmaerne Rapid7 og Sansec. Men den slags værktøjer bliver hurtigt bedre, så det er ikke noget, du skal lade ligge.

Mit sikkerhedsplugin passer vel på mig?

Ikke her, desværre. Fejlen sidder ikke i WordPress eller i dine plugins. Den sidder et lag længere nede, i selve PHP. Du kan altså godt være ramt, selvom du altid husker at opdatere dine plugins.

Det er PHP på serveren, der skal opdateres. Og det er typisk ikke noget, du selv gør.

Sådan gør du (det tager fem minutter)

Find ud af, hvem der hoster din hjemmeside. Det er som regel dit webhotel eller det firma, der har lavet siden. Send dem så den her besked:

"Hej. Jeg har læst om de nye sikkerhedshuller i PHP (CVE-2026-109618 og CVE-2026-109619). Er min hjemmeside opdateret, og er PHP genstartet bagefter?"

Det er det hele. Svarer de ja, er du på den sikre side. Svarer de noget i stil med "det må vi lige undersøge", så bliv ved med at spørge, til du får et ja.

Vil du selv kigge efter, så log ind i WordPress og gå til Værktøjer → Webstedshelbred. Åbn fanen med oplysninger om webstedet, og kig under Server. Der står, hvilken PHP-version siden kører på.

Står der 8.1 eller et lavere tal, er siden på en version, som PHP ikke retter fejl i længere. Den bør opgraderes hurtigst muligt. USA's myndighed for cybersikkerhed, CISA, anbefaler endda at tage den slags sider offline, indtil de er opdateret.

Står der 8.2, er du okay lige nu, hvis din udbyder har opdateret. Men 8.2 holder op med at få rettelser den 31. december 2026, så sæt et kryds i kalenderen. Og uanset hvilket tal der står, er det din udbyder, der kan svare på, om rettelsen er lagt ind.

Hjemmesider skal også til service

Mange tænker på hjemmesiden som noget, man får lavet én gang. Men den skal til service ligesom firmabilen, ellers går det galt på et tidspunkt.

Der bliver også fundet flere huller end før. Forskerne bag PHP2Shell brugte blandt andet AI til at finde fejlene, og de samme værktøjer kan hackere bruge. Samtidig kører rigtig mange sider på gamle versioner, som ingen har kigget på i årevis. Hos sikkerhedsfirmaet Qualys' kunder gjaldt det 71 % af alle PHP-installationer.

Hoster vi din side?

Så skal du ikke selv gøre noget. Det er vores arbejde at holde PHP og serveren opdateret, og det er præcis den slags, vi holder øje med. Er du i tvivl om noget, så skriv bare.

Ligger din side et andet sted, og orker du ikke at rode med det? Så skriv til os. Vi kigger gerne på det, og vi er kun en mail væk. Er siden af ældre dato, kan det også være tid til et redesign eller til at flytte den over til hosting hos os. Du kan også læse, hvordan vi bygger WordPress-sider.

Vil du læse mere?

Vi har samlet det her fra disse kilder:

• PHP: Meddelelsen om opdateringen (21. oktober 2026) og advarslerne om CVE-2026-109618 og CVE-2026-109619
• CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21. oktober 2026)
• Amazon: Angrebsforsøg før fejlene blev offentlige (21. oktober 2026)
• Rapid7: Teknisk gennemgang af fejlene
• Sansec: Test af de offentlige hackerværktøjer
• Qualys: Tal for gamle PHP-versioner
• Tenable: Spørgsmål og svar om PHP2Shell, blandt andet om forskernes brug af AI
• W3Techs: hvor udbredt PHP og WordPress er (22. oktober 2026)