PHP2Shell: Kritiske PHP-sikkerhedshuller rammer virksomheder

Den 21. oktober 2026 udsendte udviklerne bag PHP ekstraordinære sikkerhedsopdateringer til to kritiske sårbarheder. Fejlene omtales samlet som PHP2Shell og kan under bestemte forhold give angribere mulighed for at køre kode på en webserver uden at logge ind. For danske virksomheder handler det nu om at finde ud af, hvem der har ansvaret for PHP på deres hjemmeside, webshop og øvrige systemer.

Kort svar: PHP2Shell er betegnelsen for to kritiske sikkerhedshuller i PHP, som bruges bag mange hjemmesider og webshops. Fejlene kan i visse opsætninger udnyttes uden login. Den 21. oktober 2026 blev der frigivet rettelser til PHP 8.2, 8.3, 8.4 og 8.5. Virksomheder bør straks kontakte deres hostingudbyder eller webbureau og få bekræftet, at PHP er opdateret.

Hvad er PHP2Shell, og hvorfor er det alvorligt?

PHP er et programmeringssprog, der kører på webserveren og bruges til at levere indhold, behandle formularer og kommunikere med databaser. Du kan derfor bruge PHP hver dag uden at vide det.

De to sårbarheder har fået identifikationsnumrene CVE-2026-109618 og CVE-2026-109619. Begge er vurderet til 9,2 på CVSS v4.0-skalaen, altså kritisk alvorlighed.

Problemet findes i PHP's håndtering af hukommelse og fejltilstande, ikke i et bestemt WordPress-tema eller plugin. I dokumenterede angrebsscenarier kan en angriber udnytte sårbarhederne til såkaldt remote code execution, hvor uvedkommende kode bliver afviklet på serveren. Det kan potentielt føre til datatyveri, ændringer på hjemmesiden eller nedetid.

PHP-projektet vurderer risikoen som størst for installationer med Apache-modulet mod_php, men advarer også om PHP-FPM, php-cgi, FrankenPHP og LiteSpeed. En bestemt serveropsætning er derfor ikke i sig selv en garanti for sikkerhed.

Hvilke danske virksomheder kan være påvirket?

Problemet kan være relevant for virksomheder med hjemmesider, webshops eller digitale services, der bruger PHP på serveren. Det gælder blandt andet:

• WordPress-hjemmesider og WooCommerce-webshops.
• Løsninger bygget med Drupal, Joomla, Magento eller specialudviklet PHP.
• Kundeportaler, bookingsystemer, intranet og ældre kampagnesider.
• Servere, containere eller softwareprodukter, hvor PHP er inkluderet af en tredjepartsleverandør.

En WordPress-side er ikke nødvendigvis kompromitteret, fordi den bruger PHP. Risikoen afhænger af, om den underliggende PHP-installation er sårbar, og om fejlen kan udnyttes i den konkrete opsætning.

Bruger du en fuldt hostet tjeneste som Shopify, administrerer du normalt ikke selv PHP-runtime for selve webshopplatformen. Har du til gengæld en separat WordPress-blog, et specialbygget integrationssystem eller en ekstern kundeportal, skal de undersøges hver for sig.

Hvilke PHP-versioner er sikre efter opdateringen?

PHP udgav den 21. oktober 2026 sikkerhedsrettelserne nedenfor. Versionerne i højre kolonne indeholder rettelser til de to offentliggjorte sårbarheder.

PHP 8.1 og ældre modtager ikke længere almindelige sikkerhedsopdateringer fra PHP-projektet. Nogle Linux-distributioner og leverandører med udvidet support tilbyder dog særskilte sikkerhedsrettelser. Bed i så fald om skriftlig dokumentation for, at netop disse to CVE'er er dækket.

Vær opmærksom på, at PHP 8.2 efter planen udgår af sikkerhedssupport ved udgangen af 2026. En rettelse i dag erstatter ikke en langsigtet opgraderingsplan.

Kilde: PHP's officielle sikkerhedsmeddelelse, 21. oktober 2026.

Hvordan tjekker du, om din hjemmeside bruger en sårbar PHP-version?

Hvis du bruger WordPress, kan du gå til Værktøjer → Webstedstilstand → Info → Server og se PHP-versionen. Menuernes navne kan variere efter sprog og WordPress-version.

Hvis du bruger et webhotel, kan PHP-versionen ofte ses i hostingpanelet. Kontakt udbyderen, hvis du er i tvivl om, hvilke miljøer der faktisk er blevet opdateret.

Hvis et bureau driver løsningen, skal du bede om den aktuelle PHP-version og en bekræftelse på, at sikkerhedsrettelserne er installeret. Husk også testmiljøer, gamle subsites og tredjepartsintegrationer.

Det er ikke nok kun at opdatere WordPress, temaer og plugins. Ifølge WordPress-projektet kræver netop disse fejl en PHP-opdatering på serveren. Der er ikke annonceret en særskilt WordPress-core-opdatering som løsning.

Hvad bør din virksomhed gøre i dag?

1. Find alle PHP-systemer. Spørg it-ansvarlig, webbureau og hostingudbyder. Medtag både hovedwebsite, webshop, kundeportaler og ældre løsninger.
2. Få opdateret PHP. Installér en af de rettede versioner, eller en dokumenteret leverandørrettelse. Test for kompatibilitetsproblemer og kontrollér, at systemet fungerer efter opdateringen.
3. Få skriftlig bekræftelse. Notér version, servermiljø, tidspunkt og hvem der har udført opdateringen. Undgå at nøjes med svaret "vi er beskyttet".
4. Undersøg usædvanlig aktivitet. Bed den teknisk ansvarlige kontrollere relevante server- og applikationslogs for mistænkelige hændelser. Hvis der er mistanke om kompromittering, skal der gennemføres egentlig hændelseshåndtering.
5. Begræns adgangen, hvis rettelsen må vente. Overvej at isolere internetvendte PHP-systemer eller tage dem midlertidigt offline efter en konkret risikovurdering. En web application firewall kan reducere visse risici, men erstatter ikke selve PHP-opdateringen.

Det vigtigste er at handle på den version, der faktisk kører på serveren, ikke kun på hvad webhotellets salgsside lover.

Hvad skal du skrive til dit webbureau eller din hostingudbyder?

Du kan sende denne korte besked:

Hej. Der er den 21. oktober offentliggjort to kritiske PHP-sårbarheder, CVE-2026-109618 og CVE-2026-109619 (PHP2Shell). Kan I bekræfte, om vores hjemmeside, webshop eller tilknyttede systemer bruger PHP, hvilken version der kører, om de relevante rettelser er installeret, og om I har undersøgt tegn på misbrug? Send gerne en skriftlig status med tidspunkt for opdateringen.

Det gør det lettere at få et konkret, kontrollerbart svar uden selv at skulle forstå detaljerne i PHP's kildekode.

Hvordan hænger PHP2Shell sammen med kunstig intelligens?

AI har spillet en væsentlig rolle i sikkerhedsforskningen bag sagen. Ifølge PHP Foundation har blandt andre Calif, OpenAI og Wiz bidraget med undersøgelser, der tydeliggjorde angrebsmulighederne. Tidlige tegn på et af problemerne blev allerede identificeret i 2024, men alvoren stod først senere klart.

Det interessante for virksomheder er ikke, hvilken AI-model der fik mest omtale. Det er, at AI kan hjælpe sikkerhedsforskere med at finde komplekse fejl hurtigere, mens de samme fremskridt også kan mindske den tid, virksomheder har til at reagere efter offentliggørelsen. Hurtig patching, klart leverandøransvar og overblik over egne systemer bliver endnu vigtigere.

Der cirkulerer meldinger om forsøg på at udnytte sårbarhederne, men det er vigtigt at skelne mellem offentliggjorte demonstrationsangreb, scanninger og dokumenterede kompromitteringer. Der er ikke grundlag for at påstå, at alle PHP-hjemmesider allerede er blevet hacket.

Hvad betyder sikkerhedshullet for kunder, data og drift?

Hvis en virksomheds server kompromitteres, kan konsekvenserne omfatte tab af tilgængelighed, ændret indhold og uautoriseret adgang til data. De konkrete følger afhænger af serverens rettigheder, konfiguration og hvilke data eller andre systemer den kan tilgå.

For en webshop kan nedetid betyde tabte ordrer. For en kundeportal kan et brud ramme fortrolige oplysninger. Derfor bør den tekniske løsning kobles til en driftsplan: Hvem reagerer, hvem kontakter leverandøren, og hvem informerer kunderne, hvis der opstår en reel hændelse?

Min anbefaling: Få bekræftet PHP-status i dag, og sørg for, at ansvar og dokumentation er på plads. Det er et langt bedre første skridt end at gætte på, om din hjemmeside er ramt.

Ofte stillede spørgsmål om PHP2Shell

Er alle WordPress-hjemmesider i fare?

Ikke nødvendigvis. WordPress bruger PHP, men risikoen afhænger af serverens PHP-version og konkrete opsætning. Du skal kontrollere PHP hos din hostingudbyder og installere de relevante sikkerhedsrettelser.

Skal jeg opdatere WordPress eller PHP?

Det er PHP, der skal opdateres for at rette disse to sårbarheder. Almindelige WordPress-, tema- og pluginopdateringer er fortsat vigtige, men løser ikke i sig selv PHP2Shell.

Er min Shopify-webshop berørt?

En standard Shopify-webshop giver normalt ikke butiksejeren ansvar for PHP på Shopifys platform. Eksterne apps, integrationsservere eller en separat PHP-baseret blog kan dog kræve deres egen kontrol.

Er PHP 8.1 eller PHP 7 sikkert?

Disse versioner får ikke længere almindelige rettelser fra PHP-projektet. Der kan findes særlige leverandørpatches eller backports, men den langsigtede løsning er at opgradere til en supporteret version.

Er det nok at have en firewall?

Nej. En firewall kan begrænse bestemte angrebsforsøg, men PHP-projektet understreger, at opdatering er den eneste komplette løsning på de offentliggjorte sårbarheder.

Er der bevis for, at min hjemmeside er blevet angrebet?

Ikke ud fra PHP-versionen alene. Sårbar betyder ikke automatisk kompromitteret. Hvis du har mistanke om angreb, bør en teknisk ansvarlig gennemgå logs, filer, processer og andre relevante spor.

Hvilke officielle kilder bør du følge?

Oplysningerne i artiklen er baseret på offentliggjorte meddelelser den 21. oktober 2026:

• PHP-projektets officielle sikkerhedsmeddelelse, med tekniske detaljer og versionsnumre.
• PHP Foundations redegørelse for opdateringen, med baggrund for fundet og AI-forskningen.
• ENISA og europæiske myndigheders fælles advarsel, med anbefalinger til organisationer.
• WordPress-projektets sikkerhedsmeddelelse, med vejledning til WordPress-ejere.
• Styrelsen for Samfundssikkerheds danske advarsel.

Artiklen beskriver situationen, som den var kendt den 21. oktober 2026. Da trusselsbilledet kan ændre sig hurtigt, bør tekniske beslutninger altid bygge på de nyeste meldinger fra PHP-projektet og din driftsleverandør.