Kritiske huller i PHP: Det skal du vide

Skrevet d. 22-10-2026 af itm8

To nye, alvorlige sårbarheder i PHP rammer en stor del af internettets hjemmesider og webshops. Opdateringer er allerede ude, så det vigtigste nu er at få dem installeret hurtigt. Her får du overblikket i almindeligt sprog. 

Hvad er PHP, og hvorfor angår det din virksomhed?

PHP er et programmeringssprog, der kører "bag kulissen" på et meget stort antal hjemmesider. Mange har aldrig hørt om det, men bruger det alligevel hver dag. PHP driver cirka 70 procent af alle hjemmesider, også platforme som WordPress, Drupal og Wikipedias MediaWiki. Det gælder også en lang række andre systemer. PHP kører stille og roligt under WordPress-, Drupal-, Joomla- og Magento-sider, delte hostingplatforme, kontrolpaneler og meget software, som slet ikke oplyser, at det bruger PHP.

Har din virksomhed en hjemmeside, en webshop, en kundeportal eller et internt websystem, er der derfor en god chance for, at PHP indgår et sted.

Hvad er der sket?

PHP's udviklingsteam har udsendt akutte sikkerhedsopdateringer, der lukker "PHP2Shell". Det er to kritiske sårbarheder (CVE-2026-109618 og CVE-2026-109619), som kan lade angribere køre kode på webservere udefra uden at logge ind.

Forløbet gik stærkt. Den 20. oktober lækkede detaljer om de to sårbarheder på nettet, før de officielt skulle offentliggøres, og før der var en rettelse klar. Dagen efter kom en nødopdatering og detaljerne om sårbarhederne.

Sagen er alvorlig. Fejlen er vurderet som kritisk med en score på 9,2 på en skala, der går op til 10.

Hvad kan en angriber gøre?

Kort sagt kan en angriber overtage serveren, som hjemmesiden kører på. Ifølge forskerne kan sårbarhederne lade en angriber køre sin egen kode på en server og potentielt tage kontrollen over den. Desuden kan en angriber læse serverens hukommelse, fx adgangskoder, API-nøgler og sessionsnøgler.

Det gør sagen ekstra alvorlig, at fejlen sidder i PHP selv og ikke i den enkelte hjemmeside. Hjemmesider kan være ramt, selv om deres egen kode er sikker.

Bliver hullerne allerede udnyttet?

Billedet er ikke entydigt endnu. Den amerikanske cybersikkerhedsmyndighed CISA oplyste, at den endnu ikke havde set sårbarhederne blive udnyttet, men at de udgør en risiko for organisationer, hvis de ikke bliver opdateret. Andre melder om tidlige angreb. Cloudflare har set tegn på tidlige angrebsforsøg, og Amazon registrerede et angrebsforsøg den 17. oktober, fire dage før sårbarhederne blev offentliggjort.

Man skal derfor regne med, at der er travlt. Myndigheder i hele Europa har reageret. Efter råd fra CERT-EU og det britiske National Cyber Security Centre tog mange organisationer i Europa deres hjemmesider offline som en forholdsregel. Herhjemme gælder det blandt andet Aula.

Særligt vigtigt: Gamle PHP-versioner

Mange virksomheder kører på ældre versioner af PHP uden at vide det. De rettede versioner er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Til gengæld gælder det, at PHP 8.1 og ældre ikke længere bliver understøttet af PHP-projektet og ikke får officielle opdateringer.

Det er et udbredt problem. Blandt de servere, der oplyser deres version, kører cirka 758.000 på versioner fra 5.4 til 8.1, mens kun 272.000 kører på understøttede versioner. Kører jeres systemer på en gammel version, er det ikke nok at vente på en opdatering. Så er løsningen at opgradere eller tage systemet ud af drift, indtil I har opgraderet.

Faldgruben: At opdatere hjemmesiden er ikke nok. Mange tror, at de er dækket ind, når WordPress eller webshoppen er opdateret. Det er ikke tilfældet her. Når man opdaterer en applikation, bliver det underliggende PHP ikke opdateret. Den eneste fulde løsning er at installere en rettet PHP-version på alle systemer og derefter genstarte de relevante webtjenester.

Det kan du gøre i dag

• Spørg jeres IT-ansvarlige, webbureau eller hostingudbyder, om jeres hjemmesider og websystemer kører PHP, og hvilken version.
• Få opdateret hurtigst muligt, og start med de systemer, der er tilgængelige fra internettet.
• Få styr på gamle systemer. Ved forældede versioner: Opgrader, tag systemet af internettet, eller læg det bag en VPN eller en webapplikationsfirewall (WAF), indtil det kan opgraderes.
• Husk de skjulte steder. PHP findes ikke kun på hjemmesiden. PHP følger også med i leverandørudstyr, kontrolpaneler til webhotel som cPanel og Plesk og nogle Windows-programmer.

Det gør itm8

itm8 er i gang med at scanne vores kundemiljøer for sårbare PHP-installationer. Vi har allerede sat gang i opdateringen af de miljøer, hvor vi finder sårbarheder.

Er du i tvivl om, hvorvidt din virksomhed er berørt, eller vil du have hjælp med det samme, kan du ringe direkte til vores hotline på +45 70 26 29 88.