Stort säkerhetshål i PHP – så kontrollerar du din webbplats

Onsdagen den 21 oktober kom en brådskande uppdatering av PHP. Det säger nog inte så många något. Men har ditt företag en webbplats byggd i WordPress handlar det här också om dig.

PHP är det som körs bakom din webbplats. Du ser det aldrig, men utan det fungerar inte webbplatsen. Nu har man hittat två allvarliga fel i det, och i värsta fall kan en hackare använda dem för att ta över hela webbplatsen. Utan att känna till ditt lösenord.

Felen har fått namnet PHP2Shell. Det namnet kan du lugnt glömma igen. Det viktiga är att det är lätt att få ordning på.

Är min webbplats drabbad?

Är den byggd i WordPress körs den på PHP. Det gör faktiskt ungefär sju av tio webbplatser där man kan se vad de är byggda med. Så du är långt ifrån ensam.

Har du byggt din webbplats i Wix eller Squarespace kan du slappna av. Där tar företaget bakom hand om sådant.

Vet du inte vad din webbplats är byggd i? Fråga då den som byggde den. Eller skriv till oss, så tar vi reda på det.

Hur orolig ska jag vara?

Lite. Men inte mer än att du bara behöver skicka ett mejl i dag.

Felen har fått 9,2 på en skala till 10, och Amazon har sett hackare försöka utnyttja dem. Det första försöket som Amazon fångade var redan den 17 oktober. Alltså fyra dagar innan felen offentliggjordes.

Å andra sidan har vi ännu inte kunnat hitta någon som har bekräftat ett verkligt intrång. Och de hackerverktyg som finns fritt på nätet fungerar än så länge bara under mycket speciella förhållanden, skriver säkerhetsföretagen Rapid7 och Sansec. Men sådana verktyg blir snabbt bättre, så det är inget du ska låta ligga.

Mitt säkerhetsplugin skyddar väl mig?

Inte här, tyvärr. Felet sitter inte i WordPress eller i dina plugins. Det sitter ett lager längre ner, i själva PHP. Du kan alltså vara drabbad även om du alltid kommer ihåg att uppdatera dina plugins.

Det är PHP på servern som ska uppdateras. Och det är vanligtvis inget du gör själv.

Så gör du (det tar fem minuter)

Ta reda på vem som står för driften av din webbplats. Det är oftast ditt webbhotell eller företaget som byggde webbplatsen. Skicka dem sedan det här meddelandet:

"Hej. Jag har läst om de nya säkerhetshålen i PHP (CVE-2026-109618 och CVE-2026-109619). Är min webbplats uppdaterad, och har PHP startats om efteråt?"

Det är allt. Svarar de ja är du på den säkra sidan. Svarar de något i stil med "det måste vi undersöka", så fortsätt fråga tills du får ett ja.

Vill du själv kontrollera, logga in i WordPress och gå till Verktyg → Webbplatsens hälsa. Öppna fliken med information om webbplatsen och titta under Server. Där står vilken PHP-version webbplatsen körs på.

Står det 8.1 eller ett lägre tal är webbplatsen på en version som PHP inte längre rättar fel i. Den bör uppgraderas så snart som möjligt. USA:s myndighet för cybersäkerhet, CISA, rekommenderar till och med att ta sådana webbplatser offline tills de är uppdaterade.

Står det 8.2 är du okej just nu, om din leverantör har uppdaterat. Men 8.2 slutar få rättningar den 31 december 2026, så markera det i kalendern. Och oavsett vilket tal som står är det din leverantör som kan svara på om rättningen är installerad.

Webbplatser behöver också service

Många tänker på webbplatsen som något man gör en gång. Men den behöver service precis som firmabilen, annars går det fel förr eller senare.

Det hittas också fler hål än tidigare. Forskarna bakom PHP2Shell använde bland annat AI för att hitta felen, och samma verktyg kan hackare använda. Samtidigt körs väldigt många webbplatser på gamla versioner som ingen har tittat på på flera år. Bland säkerhetsföretaget Qualys kunder gällde det 71 % av alla PHP-installationer.

Driftar vi din webbplats?

Då behöver du inte göra något själv. Det är vårt jobb att hålla PHP och servern uppdaterade, och det är precis sådant vi håller koll på. Är du osäker på något är det bara att skriva.

Ligger din webbplats någon annanstans, och orkar du inte krångla med det? Då är det enkelt: skriv till oss. Vi tittar gärna på det, och vi är bara ett mejl bort. Är webbplatsen av äldre datum kan det också vara dags för en redesign eller att flytta den till webbhotell hos oss. Du kan också läsa hur vi bygger WordPress-webbplatser.

Vill du läsa mer?

Vi har samlat det här från dessa källor:

• PHP: Meddelandet om uppdateringen (21 oktober 2026) och varningarna om CVE-2026-109618 och CVE-2026-109619
• CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21 oktober 2026)
• Amazon: Attackförsök innan felen blev offentliga (21 oktober 2026)
• Rapid7: Teknisk genomgång av felen
• Sansec: Test av de offentliga hackerverktygen
• Qualys: Siffror för gamla PHP-versioner
• Tenable: Frågor och svar om PHP2Shell, bland annat om forskarnas användning av AI
• W3Techs: hur utbrett PHP och WordPress är (22 oktober 2026)