Stort sikkerhetshull i PHP – slik sjekker du nettsiden din

Onsdag 21. oktober kom det en hasteoppdatering til PHP. Det sier nok ikke så mange noe. Men har bedriften din en nettside laget i WordPress, handler dette også om deg.

PHP er det som kjører bak nettsiden din. Du ser det aldri, men uten det virker ikke siden. Nå er det funnet to alvorlige feil i det, og i verste fall kan en hacker bruke dem til å overta hele nettsiden. Uten å kjenne passordet ditt.

Feilene har fått navnet PHP2Shell. Det navnet kan du trygt glemme igjen. Det viktige er at det er lett å få kontroll på.

Er nettsiden min rammet?

Er den laget i WordPress, kjører den på PHP. Det gjør faktisk rundt sju av ti nettsider der man kan se hva de er bygget med. Så du er langt fra den eneste.

Har du laget siden din i Wix eller Squarespace, kan du slappe av. Der sørger firmaet bak for slikt.

Vet du ikke hva siden din er laget i? Da kan du spørre den som laget den. Eller skriv til oss, så finner vi ut av det.

Hvor bekymret skal jeg være?

Litt. Men ikke mer enn at du bare må sende én e-post i dag.

Feilene har fått 9,2 på en skala til 10, og Amazon har sett hackere prøve å utnytte dem. Det første forsøket Amazon fanget, var allerede 17. oktober. Altså fire dager før feilene ble gjort offentlige.

På den annen side har vi ennå ikke funnet noen som har bekreftet et faktisk innbrudd. Og hackerverktøyene som ligger fritt på nettet, virker foreløpig bare under helt spesielle forhold, skriver sikkerhetsselskapene Rapid7 og Sansec. Men slike verktøy blir raskt bedre, så dette er ikke noe du skal la ligge.

Sikkerhetspluginen min passer vel på meg?

Ikke her, dessverre. Feilen sitter ikke i WordPress eller i pluginene dine. Den sitter et lag lenger nede, i selve PHP. Du kan altså være rammet selv om du alltid husker å oppdatere pluginene dine.

Det er PHP på serveren som må oppdateres. Og det er vanligvis ikke noe du gjør selv.

Slik gjør du (det tar fem minutter)

Finn ut hvem som drifter nettsiden din. Det er som regel webhotellet ditt eller firmaet som har laget siden. Send dem så denne meldingen:

"Hei. Jeg har lest om de nye sikkerhetshullene i PHP (CVE-2026-109618 og CVE-2026-109619). Er nettsiden min oppdatert, og er PHP startet på nytt etterpå?"

Det er alt. Svarer de ja, er du på den sikre siden. Svarer de noe i retning av "det må vi undersøke", så fortsett å spørre til du får et ja.

Vil du sjekke selv, logg inn i WordPress og gå til Verktøy → Helse for nettsted. Åpne fanen med informasjon om nettstedet, og se under Server. Der står det hvilken PHP-versjon siden kjører på.

Står det 8.1 eller et lavere tall, er siden på en versjon som PHP ikke lenger retter feil i. Den bør oppgraderes så snart som mulig. USAs myndighet for cybersikkerhet, CISA, anbefaler til og med å ta slike sider offline til de er oppdatert.

Står det 8.2, er du ok akkurat nå, hvis leverandøren din har oppdatert. Men 8.2 slutter å få rettelser 31. desember 2026, så sett et kryss i kalenderen. Og uansett hvilket tall som står, er det leverandøren din som kan svare på om rettelsen er lagt inn.

Nettsider må også på service

Mange tenker på nettsiden som noe man får laget én gang. Men den må på service akkurat som firmabilen, ellers går det galt på et tidspunkt.

Det blir også funnet flere hull enn før. Forskerne bak PHP2Shell brukte blant annet KI til å finne feilene, og de samme verktøyene kan hackere bruke. Samtidig kjører veldig mange sider på gamle versjoner som ingen har sett på på flere år. Blant kundene til sikkerhetsselskapet Qualys gjaldt det 71 % av alle PHP-installasjoner.

Drifter vi siden din?

Da trenger du ikke gjøre noe selv. Det er vår jobb å holde PHP og serveren oppdatert, og det er akkurat slikt vi følger med på. Er du i tvil om noe, er det bare å skrive.

Ligger siden din et annet sted, og orker du ikke å rote med det? Så skriv til oss. Vi ser gjerne på det, og vi er bare en e-post unna. Er siden av eldre dato, kan det også være tid for et redesign eller for å flytte den over til webhotell hos oss. Du kan også lese hvordan vi bygger WordPress-sider.

Vil du lese mer?

Vi har samlet dette fra disse kildene:

• PHP: Meldingen om oppdateringen (21. oktober 2026) og varslene om CVE-2026-109618 og CVE-2026-109619
• CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21. oktober 2026)
• Amazon: Angrepsforsøk før feilene ble offentlige (21. oktober 2026)
• Rapid7: Teknisk gjennomgang av feilene
• Sansec: Test av de offentlige hackerverktøyene
• Qualys: Tall for gamle PHP-versjoner
• Tenable: Spørsmål og svar om PHP2Shell, blant annet om forskernes bruk av KI
• W3Techs: hvor utbredt PHP og WordPress er (22. oktober 2026)