Onsdag d. 21. oktober 2026 kom PHP med en nødopdatering, der lukker to kritiske sikkerhedshuller. Hullerne gør det muligt for en angriber at køre kode på serveren bag din hjemmeside. Uden at logge ind.
Kører din WordPress-side på en PHP-version, der ikke er opdateret, skal du handle nu. Her får du det korte overblik og fem ting, du kan gøre i dag.
Hvad er der sket?
PHP er det programmeringssprog, WordPress er bygget i. Det kører på dit webhotel og sætter siden sammen, hver gang nogen besøger den. Næsten tre ud af fire hjemmesider i verden bruger PHP.
De to huller har fået navnet PHP2Shell (CVE-2026-109618 og CVE-2026-109619). De får 9,2 ud af 10 på den skala, man bruger til at vurdere sikkerhedshuller. Fejlen har ligget i PHP i over ti år og blev fundet af sikkerhedsforskere med hjælp fra AI.
Det særlige er, at fejlen sidder i selve PHP. Ikke i dit tema eller dine plugins. Selv en side med helt ren kode kan blive ramt.
Hvorfor haster det?
Planen var at udsende rettelsen i ro og mag. Men detaljerne slap ud på et udviklerforum dagen før, så PHP måtte skynde sig. Angriberne kendte altså hullerne, før rettelsen var klar.
Siden er det kun gået én vej:
- Cloudflare så de første angreb, allerede inden rettelsen var ude.
- Sikkerhedsfirmaet watchTowr har set hullerne blive udnyttet i praksis.
- Der ligger færdig angrebskode frit tilgængelig på nettet.
Og der er ingen genvej. PHP oplyser selv, at ingen indstilling lukker hullerne helt. Den eneste sikre løsning er at opdatere.
Hvilke PHP-versioner er sikre?
Rettelsen findes i disse versioner:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Har du en ældre version i samme serie, fx 8.3.20, er din side sårbar. Kører den PHP 8.1 eller ældre, får den slet ikke sikkerhedsopdateringer fra PHP længere. Så skal du op på en af versionerne ovenfor.
Hold også øje med PHP 8.2. Den får sin sidste sikkerhedsopdatering d. 31. december 2026. Skal du alligevel opdatere nu, så tag springet til 8.3 eller nyere med det samme.
Opdaterer WordPress ikke det selv?
Nej. Det er den misforståelse, jeg oftest hører.
Når du opdaterer WordPress, temaer og plugins, rører det ikke PHP. PHP kører på serveren, så opdateringen skal ske hos dit webhotel. Enten af dig selv i kontrolpanelet eller af webhotellet.
5 ting, du skal gøre nu
1. Tjek din PHP-version
2. Tag en backup
3. Opdater PHP
4. Tjek, at siden virker
5. Se efter tegn på indbrud
En opdatering stopper nye angreb. Men den smider ikke en hacker ud, der allerede er kommet ind. Kig efter:
- administratorbrugere, du ikke kender
- filer, der er ændret uden grund
- mærkelige links eller omdirigeringer på siden
Finder du noget mistænkeligt, så gå ud fra, at siden er ramt, og få hjælp til at rydde op.
Det kan vi lære af det
Sagen viser, hvorfor drift er mere end at trykke “opdater” i WordPress. Sikkerheden sidder i hele kæden: WordPress, tema, plugins, PHP og serveren. Er ét led svagt, hjælper resten ikke meget.
Det er netop det, jeg holder øje med i hosting og drift. Har du en aftale med mig, er det min opgave at holde din side opdateret og sikker, så du kan passe din virksomhed. Læs også 7 grunde til at vælge WordPress, hvor jeg skriver mere om, hvorfor opdateringer.
Vil du hellere have hjælp?
Er du i tvivl om, hvilken PHP-version din side kører, eller om den er blevet ramt? Skriv til mig, så kigger jeg på det. Få et uforpligtende tilbud
Kilde: PHP’s sikkerhedsmeddelelse
