Kritiske PHP-sikkerhedshuller: Det skal virksomheder gøre nu

Hvad skete der den 21. oktober?

PHP er programmeringssproget bag en stor del af internettets hjemmesider og webshops – også WordPress. Det er teknikken bag siden, ikke noget de fleste besøgende ser.

Den 21. oktober udsendte PHP's sikkerhedsteam rettelser til to kritiske sårbarheder: CVE-2026-109618 og CVE-2026-109619. Ifølge PHP-projektet kan fejlene bruges til såkaldt remote code execution: at få serveren til at udføre kode, som ejeren ikke har godkendt.

Det var alvorligt nok til, at blandt andre Dansk Erhverv opfordrede virksomheder til at kontakte deres it-leverandører og opdatere. Men det er vigtigt at skelne mellem en sårbarhed og et konstateret hackerangreb. En hjemmeside bliver ikke automatisk kompromitteret, fordi dens software har haft en fejl.

Hvilke PHP-versioner skal du kigge efter?

PHP-projektet udgav disse rettede versioner den 21. oktober:

Hvis din hosting bruger en tidligere version i en af disse serier, skal du have afklaret, om sikkerhedsrettelsen er installeret. Nogle hosting- og Linux-leverandører indbygger rettelser i deres egne pakker uden at ændre versionsnummeret på samme måde. Derfor er det ikke altid muligt at afgøre sikkerhedsstatus ud fra tallet alene.

PHP 8.1 og ældre får ikke længere almindelige sikkerhedsopdateringer fra PHP-projektet. Visse leverandører kan dog have særlige backportede rettelser. PHP 8.2 nærmer sig desuden afslutningen på sin officielle supportperiode den 31. december 2026. Har du en ældre løsning, bør du både undersøge den aktuelle rettelse og planlægge en kontrolleret opgradering.

Sådan tjekker du din hjemmeside uden at gøre problemet større

1. Find ud af, hvem der administrerer PHP. Det kan være din hostingudbyder, dit webbureau eller en teknisk ansvarlig. Mange virksomheder har aldrig selv ændret PHP-version.

2. Spørg konkret til oktoberrettelserne. Skriv for eksempel: “Er vores hjemmeside/server opdateret mod CVE-2026-109618 og CVE-2026-109619, og har I kontrolleret, at løsningen fungerer efter opdateringen?”

3. Tag backup, og test kompatibiliteten. Hvis opdateringen indebærer et skift til en ny PHP-hovedversion, bør WordPress, temaer, plugins og eventuelle integrationer testes først. En sikkerhedsopdatering må ikke ende med, at betalingsflow eller kontaktformularer holder op med at fungere.

4. Kontrollér de vigtigste funktioner. Åbn forsiden og vigtige undersider på mobil og computer. Send en test gennem kontaktformularen, og kontroller, at beskeden faktisk er modtaget. Har du en webshop, skal checkout undersøges på en sikker måde.

5. Gem dokumentation. Notér PHP-versionen, hvornår rettelsen blev installeret, og hvem der har testet siden. Det bliver nyttigt næste gang, der kommer en hastende opdatering.

Hjælper en almindelig WordPress-opdatering?

Ikke nødvendigvis. WordPress og PHP er to forskellige dele af teknikken. Du kan godt have den nyeste WordPress-version og samtidig bruge en PHP-version, der mangler en sikkerhedsrettelse. Omvendt kan en PHP-opdatering udløse fejl i et meget gammelt tema eller plugin.

Derfor bør arbejdet ses som én samlet opgave: serveren opdateres, hjemmesiden testes, og eventuelle kompatibilitetsproblemer bliver løst.

Hvis du allerede ser mærkelige tegn

Uventede omdirigeringer, ukendte administratorer, spam i Google eller advarsler fra hostingudbyderen bør undersøges særskilt. De er ikke bevis for, at netop PHP-sårbarhederne er blevet udnyttet. Læs vores eksisterende guide: Hacket WordPress-hjemmeside – de første fem ting.

Har du brug for at få det afklaret?

RocaPress hjælper med WordPress, PHP-kompatibilitet og tekniske fejl. Hvis du ikke ved, hvem der opdaterer din hjemmeside, eller om de seneste ændringer er blevet testet, kan vi hjælpe med at skabe overblik. Beskriv din opgave, så finder vi det rigtige næste skridt.