PHP2Shell: Er jeres website sikkert?

I oktober 2026 blev to kritiske sikkerhedshuller i PHP offentliggjort under navnet PHP2Shell. De rammer alle websites, der kører på en PHP-version uden rettelsen – uanset om siden er bygget i WordPress, Laravel eller et helt tredje system. Her får I forklaringen i et sprog, alle kan følge, og en klar plan for, hvad I bør gøre.

Hvad er PHP2Shell?

Det bør I gøre nu

Hvad er PHP2Shell?

PHP er det programmeringssprog, som langt de fleste websites er bygget på – omkring 7 ud af 10 ifølge W3Techs. WordPress, WooCommerce, Laravel, Drupal, Joomla og Magento kører alle på PHP.

PHP2Shell er navnet på to alvorlige sårbarheder i selve PHP (CVE-2026-109618 og CVE-2026-109619), som blev offentliggjort den 21. oktober 2026. Begge er vurderet som kritiske, og samme dag udgav PHP rettede versioner: 8.5.12, 8.4.27, 8.3.36 og 8.2.35.

Kort fortalt kan en angriber sende en særligt udformet forespørgsel til en server med en sårbar PHP-version og derved få lov til at køre sin egen kode på serveren – uden login, og før jeres website overhovedet når at reagere. Det kan bruges til at stjæle data, plante skadelig kode eller tage kontrol over serveren.

De første angrebsforsøg blev registreret den 17. oktober, altså inden hullerne var offentligt kendt, og siden er forsøgene talt i millioner på verdensplan.

Det bør I gøre nu

Kontakt os

Derfor er opdateringer så vigtige

PHP2Shell er et godt eksempel på, at et website består af flere lag, som alle skal holdes opdateret. Et hul i ét lag kan åbne hele løsningen.

PHP – motoren under det hele

PHP er det sprog, jeres website er skrevet i. Rettelsen til PHP2Shell findes kun i nye PHP-versioner. PHP 8.1 og ældre får ikke længere sikkerhedsopdateringer og bør udskiftes.

WordPress, Laravel og andre systemer

Selve systemet bag siden skal også holdes opdateret. Men bemærk: En opdatering af WordPress eller Laravel lukker ikke PHP2Shell. Det kræver, at PHP på serveren bliver opdateret.

Plugins og temaer

Forældede plugins og temaer er en af de mest almindelige veje ind for angribere. Hvert plugin er et stykke kode, som skal vedligeholdes – eller fjernes, hvis det ikke bruges.

Server og hosting

Styresystem, webserver og database skal også opdateres. Hvem der har ansvaret, afhænger af jeres hostingaftale – spørg jeres hostingudbyder, hvis I er i tvivl.

Overvågning

Ingen opdatering hjælper mod et hul, der endnu ikke er rettet. Overvågning og en web application firewall (WAF) opdager og stopper mistænkelig trafik, mens I venter på rettelsen.

Backup

Går det galt, er en frisk backup den hurtigste vej tilbage. Sørg for, at jeres backup tages automatisk og opbevares et andet sted end selve serveren.

Læs om vores vedligeholdelsesaftale

PHP2Shell i tal

69 %

Omkring 69% af alle websites, hvor serversproget er kendt, kører på PHP (W3Techs, oktober 2026). Derfor rammer et hul i PHP så bredt.

36 %

Cirka 36% af alle WordPress-sites kørte på PHP 8.1 eller ældre, da PHP2Shell blev kendt – versioner, som ikke længere får sikkerhedsopdateringer (WordPress.org, oktober 2026).

21. oktober 2026

Dagen hvor PHP udgav rettelserne 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Kører jeres server en ældre version end disse, er den sårbar.

17. oktober 2026

De første angrebsforsøg blev registreret – fire dage før hullerne blev offentliggjort. Har I logfiler, bør I kigge tilbage til denne dato.

9,2 ud af 10

Begge sårbarheder er vurderet til 9,2 på CVSS-skalaen (version 4.0), som bruges til at vurdere, hvor alvorlig en sårbarhed er. Alt over 9 regnes som kritisk.

Ingen genvej

Ifølge PHP findes der ingen indstilling, som lukker hullet fuldstændigt. En opdatering af PHP er den eneste sikre løsning.

Det bør I gøre nu

1. Find ud af, hvilken PHP-version jeres website kører på. Det kan jeres hostingudbyder eller webbureau svare på i løbet af få minutter. Er versionen 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 – eller nyere – er hullet lukket.

2. Er versionen ældre, så bed om at få PHP opdateret med det samme. Kører I PHP 8.1 eller ældre, skal I samtidig flyttes til en version, der stadig vedligeholdes. Det kræver typisk en test af, at jeres website og plugins virker på den nye version.

3. Få kigget i serverens logfiler tilbage til den 17. oktober 2026. Er der tegn på indbrud, bør adgangskoder og API-nøgler skiftes, og løsningen gennemgås.

4. Lad være med at installere "hurtige rettelser" fra forums eller ukendte plugins. De lukker ikke hullet, og nogle af dem er i sig selv skadelige.

Er I i tvivl om noget af ovenstående, så kontakt os. Vi hjælper gerne – også hvis jeres website er hostet et andet sted.

Kontakt os

Se vores hosting

FAQ

Spørgsmål om PHP2Shell

Her har vi samlet svar på de spørgsmål, vi oftest får om PHP2Shell. Kontakt os, hvis I ikke fandt jeres svar.

Er vores website ramt af PHP2Shell?

Alle websites, der kører på en PHP-version uden rettelsen, er sårbare – uanset om de er bygget i WordPress, WooCommerce, Laravel eller et andet system. Om jeres website er sikkert, afhænger alene af, hvilken PHP-version serveren kører. Spørg jeres hostingudbyder eller webbureau.

Vi har opdateret WordPress og vores plugins – er vi så sikre?

Nej. PHP2Shell er et hul i PHP, ikke i WordPress. WordPress oplyser selv, at ingen WordPress-opdatering er nødvendig eller planlagt, fordi rettelsen hører til PHP på serveren. Opdater gerne WordPress og plugins alligevel – det lukker andre huller – men det løser ikke PHP2Shell.

Hvilke PHP-versioner er sikre?

PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 – og alle nyere versioner – indeholder rettelsen. PHP 8.1 og ældre får ikke længere opdateringer fra PHP-projektet. Nogle hostingudbydere og Linux-distributioner har selv lavet rettelser til ældre versioner, så det er det fulde versionsnummer hos jeres udbyder, der tæller.

Hvad kan en angriber gøre?

Sårbarhederne gør det muligt at køre egen kode på serveren uden at være logget ind. I praksis kan det betyde stjålne kundedata, en bagdør til senere brug, spam eller skadelig kode på jeres sider – og i værste fald tab af kontrol over serveren.

Er der nogen, der rent faktisk er blevet hacket?

Ja, men indtil videre få. De bekræftede indbrud har især ramt netværksudstyr fra Palo Alto Networks, hvor PHP2Shell blev kombineret med en anden sårbarhed. For WordPress-sites meldte sikkerhedsfirmaet Wordfence i slutningen af oktober 2026 om over 77.000 blokerede forsøg, men ingen kendte indbrud. Angrebsmetoderne bliver dog løbende forbedret, så ingen bør regne med at være uden for rækkevidde.

Kan en firewall eller en indstilling erstatte opdateringen?

Nej. PHP skriver selv, at der ikke findes nogen fuldstændig løsning uden om en opdatering. En web application firewall (WAF) fra fx Cloudflare kan stoppe mange forsøg og er en god ekstra sikring, men den fjerner ikke hullet.

Hvordan kan Brand by Hand hjælpe?

Vi kan undersøge, hvilken PHP-version jeres website kører på, opdatere PHP og teste, at alt virker bagefter – og sætte overvågning, backup og løbende opdateringer i system med en vedligeholdelsesaftale eller hosting hos os. Det gælder også websites, vi ikke selv har bygget.

Skal vi hjælpe jer?

Ebbe Vestergård

COO & Partner

ev@brandbyhand.dk

Hellere ét spørgsmål for meget end ét for lidt

Er I i tvivl om, hvilken PHP-version jeres website kører på, eller om jeres løsning i det hele taget er opdateret, så skriv eller ring til Ebbe. Vi finder hurtigt ud af, hvor I står, og hvad der eventuelt skal gøres.

Kontakt Ebbe