Sikkerhetshullet i PHP: er WordPress-siden din trygg?

PHP er programmeringsspråket WordPress, Joomla og Drupal kjører på. 21. oktober 2026 rettet PHP to kritiske sikkerhetshull, CVE-2026-109618 og CVE-2026-109619, som også går under navnet PHP2Shell. Hullene lar en angriper kjøre egen kode på serveren uten å logge inn. Rettelsen må installeres på serveren, og på et webhotell er det webhotellet som gjør det.

To hull, rettet 21. oktober

Hullene er tettet i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Alle eldre versjoner er sårbare. NSM ber alle som drifter PHP om å installere oppdateringene snarest, og skriver at midlertidige tiltak ikke er nok. Cloudflare meldte om de første angrepene samme morgen, før rettelsen var ute. NSM sa samme dag at de ikke kjente til at hullene var utnyttet. Varselet fra NSM har det siste.

Er siden din berørt?

En WordPress-side på webhotell eller egen server er berørt til PHP der er oppdatert. Bruker du en nettsidebygger som Wix, Squarespace eller skribb, drifter leverandøren serverne, og du trenger ikke gjøre noe.

Slik sjekker du PHP-versjonen i WordPress

Logg inn og gå til Verktøy → Nettstedshelse → Info, og åpne Server. Der står PHP-versjonen. Hullet er tettet fra disse versjonene:

• PHP 8.5: 8.5.12 og nyere
• PHP 8.4: 8.4.27 og nyere
• PHP 8.3: 8.3.36 og nyere
• PHP 8.2: 8.2.35 og nyere
• PHP 8.1 og eldre: ingen rettelse fra PHP

Et lavere tall betyr ikke sikkert at siden er sårbar. Mange webhotell legger inn rettelsen uten å endre versjonsnummeret, så det er svaret fra webhotellet som avgjør.

Spør webhotellet

Se på statussiden deres, eller send en kort e-post: «Er PHP på serveren min oppdatert for CVE-2026-109618 og CVE-2026-109619, og når?» PRO ISP skrev 21. oktober at de hadde satt opp brannmurregler på alle cPanel-serverne, at PHP oppdateres når pakkene er klare, og at kundene ikke trenger å gjøre noe.

På en VPS eller egen server oppdaterer du PHP-pakken med pakkebehandleren selv, og starter PHP-FPM eller Apache på nytt etterpå. Ellers kjører den gamle versjonen videre i minnet.

PHP 8.1 og eldre får ingen rettelse

PHP lager ikke lenger oppdateringer for 8.1 og eldre. Noen webhotell legger inn rettelsen selv, så spør først. Ellers bør siden over på 8.3 eller 8.4, som du som regel bytter til i kontrollpanelet. Ta sikkerhetskopi først, og sjekk etterpå at temaet og utvidelsene virker. 8.2 holder også, men får sikkerhetsoppdateringer bare ut 2026.

Dette hjelper ikke

• Å oppdatere WordPress, temaet eller utvidelsene. Gjør det gjerne, men hullet sitter i PHP. WordPress har sagt at det ikke kommer noen WordPress-oppdatering for dette.
• Utvidelser eller kodebiter som lover å tette hullet. Rettelsen må inn på serveren.
• Vedlikeholdsmodus, siden angrepet treffer PHP før WordPress viser noen side.

Cloudflare har satt opp regler mot de kjente angrepene, også på gratisplanen, men de virker bare når trafikken til siden går gjennom Cloudflare. Det kjøper tid og erstatter ikke oppdateringen.

Er siden hacket?

Det finnes ingen sikre tegn, men disse er verdt ti minutter:

• Administratorer i WordPress du ikke har lagt til.
• Filer som slutter på .php i wp-content/uploads. Der skal det bare ligge bilder og dokumenter.
• Utvidelser eller temaer du ikke kjenner igjen.
• Sider som sender besøkende til et annet nettsted, eller mange feilmeldinger.

Finner du noe, sørg for at PHP blir oppdatert, bytt passordene til WordPress, webhotellet og databasen, og be webhotellet om å legge tilbake en sikkerhetskopi fra før 21. oktober. Å slette det du finner, er sjelden nok, for den som har vært inne, legger ofte igjen flere bakdører.

Vil du slippe å passe på serveren?

Et webhotell gir deg full kontroll, og ansvaret for oppdateringene følger med. Når PHP er oppdatert hos deg, er hullet tettet, og det er ingen grunn til å flytte i hast. Men hvis dette var første gang du hørte om PHP-versjonen din, kan en nettsidebygger med driften i prisen passe bedre. Sider hos skribb kjører ikke på PHP, og det er ingen utvidelser å oppdatere. Hva som driver siden i stedet, står i guiden om vedlikehold av nettside. Skribb Litt koster kr 79 i måneden, uten binding. Til gjengjeld kan du ikke installere hva du vil, og for en side som trenger noe vi ikke har, er WordPress fortsatt riktig valg. Mer om valget står i guiden om webhotell.

Flytt nettstedet kan lese den gamle siden og legge inn forsiden og opptil 30 sider fra menyen, med tekst og bilder. Innleggene i bloggen tar du med eksportfila fra WordPress, og bildene i dem kopieres over. Guiden om å flytte fra WordPress viser hvordan. La den gamle siden stå til alt er flyttet. Slik virker flyttingen →

Fakta fra php.net, NSM, WordPress.org, Cloudflare og statussiden til PRO ISP, lest 21. oktober 2026 på kvelden. Saken er i bevegelse, og vi oppdaterer siden når noe endrer seg.