Den 21. oktober 2026 blev to kritiske sikkerhedshuller i PHP offentliggjort. De kaldes samlet PHP2Shell (CVE-2026-109618 og CVE-2026-109619) og kan under visse forhold gøre det muligt at køre kode på en webserver uden login. Bruger din virksomhed WordPress eller WooCommerce, bør du få bekræftet, at webhotellet har installeret rettelserne.
Har du en mindre virksomhed, er PHP næppe noget, du beskæftiger dig med til daglig. Du skal kunne regne med, at hjemmesiden virker, og at kunderne kan kontakte dig eller bestille en vare.
Men hvem sørger egentlig for sikkerheden? Dit webhotel, den person, der byggede hjemmesiden, eller dig selv?
Den aktuelle sag er en god anledning til at få det afklaret.
Hvad betyder PHP-sikkerhedshullerne for WordPress?
PHP er en del af motoren bag hjemmesiden. Begge fejl er vurderet til 9,2 ud af 10 på CVSS v4-skalaen. De skyldes fejl i PHP’s håndtering af hukommelse og kan i alvorlige tilfælde føre til fjernkørsel af kode eller læk af data. En berørt PHP-installation betyder dog ikke automatisk, at hjemmesiden allerede er kompromitteret.
En almindelig WordPress- eller pluginopdatering retter ikke PHP2Shell. PHP skal opdateres på selve serveren. Det håndterer webhotellet normalt, men du bør få en konkret bekræftelse. PHP-projektet anbefaler omgående opdatering. Se PHP-projektets sikkerhedsmeddelelse.
Sådan finder du PHP-versionen i WordPress
- Log ind på din hjemmesides WordPress-kontrolpanel.
- Vælg Værktøjer → Webstedets helbred.
- Åbn fanen Information, og fold Server ud.
- Find feltet PHP-version. Sammenlign nummeret med tabellen nedenfor.
Hvis du ikke kan finde versionsnummeret, kan dit webhotel oplyse det. Et versionsnummer som kun viser eksempelvis 8.4, er ikke nok til at afgøre, om den konkrete sikkerhedsrettelse er installeret.
Hvilke PHP-versioner er rettet mod PHP2Shell?
| Din PHP-serie | Rettet version |
|---|---|
| PHP 8.5 | 8.5.12 eller nyere |
| PHP 8.4 | 8.4.27 eller nyere |
| PHP 8.3 | 8.3.36 eller nyere |
| PHP 8.2 | 8.2.35 eller nyere |
| PHP 8.1 eller ældre | Ikke længere understøttet af PHP-projektet – spørg webhotellet om dokumenteret sikkerhedsrettelse eller plan for opgradering. |
Tabellen viser PHP-projektets rettede udgaver fra 21. oktober 2026. Nogle hostingudbydere anvender særskilte sikkerhedsrettelser (backports), så et ældre versionsnummer er ikke i sig selv bevis for manglende rettelse. Bed webhotellet om skriftlig bekræftelse, hvis versionsnummeret ikke stemmer.
Skift ikke selv til en ny PHP-hovedversion uden først at kontrollere kompatibilitet, backup og mulighed for at rulle tilbage. Ældre temaer eller plugins kan ellers holde op med at fungere.
Kan du ikke komme ind i WordPress? Du kan også prøve vores gratis PHP-versionstest. Den viser kun et versionsnummer, hvis serveren offentliggør det, og kan ikke bekræfte, om PHP er sikkerhedsrettet. Har du brug for en konkret vurdering, kan du se vores PHP-sikkerhedstjek til 795 kr. ekskl. moms.
Hvem har ansvaret for opdateringerne?
På et almindeligt webhotel håndterer udbyderen normalt selve serversoftwaren. Opdateringer af WordPress, temaer og plugins kan derimod være dit eller dit webbureaus ansvar, afhængigt af aftalen.
Det er netop her, noget kan falde mellem to stole: Virksomheden regner med, at webhotellet klarer det hele, mens webhotellets aftale kun omfatter en del af vedligeholdelsen.
Fire ting du bør kontrollere nu
Du behøver ikke selv kunne undersøge serveren. Start med disse fire ting:
- Læs webhotellets aktuelle driftsmelding.
- Få bekræftet, at sikkerhedsrettelserne er installeret, eller hvordan hjemmesiden beskyttes, indtil det sker.
- Afklar, hvem der har ansvaret for de løbende opdateringer.
- Kontrollér, at der findes en brugbar backup, og hvem der kan gendanne den.
PHP-udviklerne understreger, at midlertidige beskyttelsesforanstaltninger ikke erstatter den endelige opdatering. Det vigtigste er derfor at få et konkret svar fra webhotellet.
PHP er kun én del af sikkerheden. Har du også brug for overblik over brugerkonti, MFA, computere og netværk, kan du læse om IT-sikkerhed til små virksomheder. Det er en bredere gennemgang end kontrol af webserverens PHP-version.
Besked du kan sende til dit webhotel
Hej. Jeg vil gerne have bekræftet, at PHP på min hjemmeside er beskyttet mod PHP2Shell (CVE-2026-109618 og CVE-2026-109619). Hvilken PHP-version kører hjemmesiden på, og er begge sikkerhedsrettelser installeret? Hvis I anvender særskilte sikkerhedsrettelser (backports), vil I så bekræfte, at begge CVE’er er dækket? Hvis opdateringen endnu ikke er gennemført, hvornår forventes det, og hvilke midlertidige foranstaltninger er aktiveret?
På forhånd tak.
Du kan kopiere teksten og sende den til webhotellets support. Gem gerne svaret sammen med virksomhedens øvrige oplysninger om hjemmeside og backup.
En backup er vigtig, hvis noget går galt. Men den lukker ikke et sikkerhedshul. Og at hjemmesiden ser normal ud, er ikke dokumentation for, at alt bagved er opdateret.
Hvis webhotellet ikke kan bekræfte, at rettelserne er installeret, eller hvis du har mistanke om misbrug, bør du få en teknisk ansvarlig til at undersøge hjemmesiden hurtigst muligt.
Få hjælp til sikkerheden på din hjemmeside
Hos Elgstrøm-IT kan jeg hjælpe med at gennemgå din WordPress-hjemmeside og få overblik over PHP-version, WordPress-opdateringer og backupstatus. Du får en forklaring på almindeligt dansk og en prioriteret liste over det, der eventuelt skal ordnes. Ændringer og ekstraarbejde aftaler vi, før de bliver udført.
Se PHP-sikkerhedstjek til 795 kr. ekskl. moms, og læs, hvad gennemgangen af én hjemmeside omfatter. Opdateringer og fejlrettelser aftales særskilt.
Prøv vores gratis PHP-versionstjek
Test, om din hjemmeside viser sin PHP-version. Du bekræfter din firmamail med en engangskode. Testen læser offentlige serveroplysninger og kan ikke erstatte en sikkerhedsgennemgang.
Spørgsmål om PHP-version og sikkerhed
Kan PHP-versionen altid ses udefra?
Nej. Mange servere skjuler versionsnummeret. Et manglende versionsnummer beviser hverken, at hjemmesiden er sikker, eller at den er sårbar.
Er en WordPress-opdatering nok?
Nej. PHP kører på serveren og skal vedligeholdes særskilt. Få webhotellet til at bekræfte PHP-rettelserne, og afklar også ansvaret for WordPress, plugins og temaer.
Er en backup en beskyttelse mod sikkerhedshullet?
En backup lukker ikke sikkerhedshullet. Den kan hjælpe med gendannelse, hvis noget går galt. Læs om backup med praktisk gendannelsestest.
Artiklen er opdateret og faktatjekket 22. oktober 2026. Webhotellernes status kan ændre sig i takt med udrulningen af rettelser.
Kilder: PHP-projektets officielle sikkerhedsmeddelelse (21. oktober), CVE-2026-109618, CVE-2026-109619, DKCERTs danske omtale.
Har din virksomhed brug for IT-hjælp?
Kontakt Elgstrøm-IT og fortæl kort om opgaven.