PHP2Shell: Sådan tjekker du din hjemmeside
To kritiske huller i PHP blev lukket 21. oktober 2026. Sådan finder du ud af, om din hjemmeside har fået rettelsen, hvad du skal spørge dit webhotel om, og hvorfor det ikke hjælper at opdatere plugins.
Den 21. oktober 2026 udsendte PHP-projektet hasterettelser til to kritiske sikkerhedshuller, kaldet PHP2Shell. PHP er det sprog, WordPress, WooCommerce, Joomla, Drupal, Magento og Laravel kører på, så det gælder de fleste små danske virksomheders hjemmesider. Her er, hvad der er sket, hvordan du ser, om din side har rettelsen, og hvad du skal spørge dit webhotel om. Opdateret 22. oktober 2026.
Hvad er PHP2Shell?#
To fejl i selve PHP, CVE-2026-109618 og CVE-2026-109619, begge vurderet til 9,2 ud af 10. De sidder i den måde, PHP håndterer en forespørgsel på, før hjemmesidens egen kode overhovedet kører, og en angriber skal ikke logge ind for at bruge dem. Ifølge PHP er alle opsætninger, der leverer websider, ramt: PHP-FPM, Apache med mod_php, php-cgi, LiteSpeed og FrankenPHP.
Detaljerne slap ud før den planlagte udgivelse, og der lå angrebskode offentligt inden for få timer. Amazon og watchTowr melder om angreb mod deres honeypots; den amerikanske CISA havde ikke bekræftet angreb, da det her blev skrevet.
Bruger min hjemmeside PHP?#
WordPress, WooCommerce, Joomla, Drupal, Magento, PrestaShop: ja.
En specialbygget side eller app i Laravel eller Symfony: ja.
Shopify, Wix, Squarespace og lignende lukkede platforme: ikke din opgave. Platformen driver sine egne servere og retter dem selv.
Er du i tvivl om, hvad din side er bygget i, så spørg den, der byggede den, eller dit webhotel.
Hvordan ser jeg, hvilken PHP-version min hjemmeside kører?#
I WordPress: Værktøjer → Webstedshelbred → fanen Info → Server. Der står PHP-versionen.
Hos dit webhotel: de fleste kontrolpaneler viser PHP-versionen for hver side, tit under en indstilling, der hedder "PHP-version" eller "PHP-indstillinger".
Udefra: nogle servere fortæller alle besøgende, hvilken PHP-version de kører. Det gratis hjemmesidetjek læser den, når de gør.
Én ting at vide: Linux-distributioner og nogle webhoteller lægger rettelsen ind i den version, de allerede kører, uden at ændre nummeret. Et lavt nummer beviser derfor ikke, at rettelsen mangler, og det er kun webhotellet, der kan bekræfte det.
Hvilke versioner har rettelsen?#
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
PHP 8.1 og ældre får ikke længere officielle rettelser. En side på PHP 7.4, 8.0 eller 8.1 bør flyttes til en understøttet version, uanset hvad webhotellet har gjort.
Det skal du spørge dit webhotel om#
De fleste webhoteller opdaterer selv PHP, og mange gjorde det 21. oktober. Spørg alligevel, på skrift, og gem svaret:
Er den PHP, min side kører på, rettet for CVE-2026-109618 og CVE-2026-109619?
Hvilken PHP-version kører min side, og er det en understøttet version?
Hvornår blev PHP genstartet efter opdateringen?
Det sidste spørgsmål er vigtigt, fordi en rettelse først virker, når PHP er blevet genstartet.
Hvorfor hjælper det ikke at opdatere plugins?#
Plugins, temaer og WordPress selv er hjemmesiden. PHP er programmet på serveren, der kører den. PHP2Shell er et hul i det program, så "opdater alle" i WordPress ændrer ikke noget her. Rettelsen skal installeres der, hvor siden er hostet.
Kører du stadig PHP 7.4 eller 8.1?#
Så er opgraderingen den egentlige løsning, og den er som regel mindre, end folk frygter. Den rækkefølge, jeg bruger:
Tag en fuld backup af filer og database.
Opdater WordPress, temaet og plugins, mens siden stadig kører den gamle version.
Skift en kopi af siden, eller siden selv på et stille tidspunkt, til PHP 8.3 eller 8.4.
Klik dig igennem de sider, der tjener penge: kontaktformularen, bookingen, kassen.
Udskift de plugins, der går i stykker. Det er som regel dem, ingen har opdateret i årevis.
På de fleste små sider er det en eftermiddags test, ikke en ny hjemmeside. En side bygget af et bureau, der siden er gået i stå, er sværere; jeg har skrevet om at overtage en WordPress-side fra et tidligere bureau og om en Laravel-app, hvor udvikleren er stoppet.
Hvis du har din egen server#
Opdater PHP fra din distributions pakker, og genstart PHP-FPM eller Apache. Kan det ikke ske i dag, nævner PHP-projektet nødløsninger: memory_limit=-1, sat så programmerne ikke kan ændre den, og session.upload_progress.enabled=0 (på PHP 8.5 også fatal_error_backtraces=0). De er ikke en rettelse, og de kræver også en genstart.
Hvis siden har været udsat#
En server, der har kørt en PHP uden rettelsen efter 21. oktober, kan være blevet angrebet, uden at noget ser forkert ud. Dansk Industri anbefaler at kigge efter usædvanlig aktivitet, mange fejl eller uventede genstarter, og at skifte de adgangskoder og nøgler, serveren havde adgang til: databasen, mailafsendelsen, betalingen.
Kilder#
DI Digital: Kritiske huller i PHP, opdater jeres webløsninger nu
Amazon Threat Intelligence: angreb før offentliggørelsen (engelsk)
Jeg opdaterer indlægget, hvis de rettede versioner eller meldingerne om angreb ændrer sig.
Var dette nyttigt?
Flere noter
At overtage en Laravel-app, når udvikleren er stoppet
Appen virker, den der byggede den er væk, og ingen ved, hvad der sker, hvis man rører ved den. Det her kigger jeg på i den første uge, i den rækkefølge der forhindrer, at det bliver værre.
Sådan overtager du en WordPress-side fra et tidligere bureau
Når samarbejdet med et bureau slutter, skal hjemmesiden flytte med. Her er rækkefølgen, jeg bruger, når jeg overtager en WordPress-side: adgange, backup, et overblik over hvad der faktisk er installeret, og hvad der skal ske, før noget bliver opdateret.