Din WordPress-side kan være helt opdateret og stadig køre en PHP-version, som mangler kritiske sikkerhedsrettelser. Efter offentliggørelsen af PHP2Shell den 21. oktober 2026 er det særligt vigtigt at kende forskellen på at opdatere WordPress og at opdatere PHP på serveren.

Kort svar: Log ind i WordPress, gå til Værktøjer → Webstedstilstand → Info → Server, og find PHP-versionen. Sammenhold den med sikkerhedsrettelserne fra 21. oktober 2026. Hvis dit webhotel viser en ældre version, skal du få bekræftet, om leverandøren har installeret en særskilt sikkerhedsrettelse. En almindelig WordPress-opdatering retter ikke PHP2Shell.

Hvordan finder du PHP-versionen i WordPress?

Du behøver ikke kunne programmere for at kontrollere, hvilken version din hjemmeside rapporterer.

  1. Log ind i administrationen på din WordPress-side.
  2. Åbn Værktøjer → Webstedstilstand. På engelske installationer hedder det Tools → Site Health.
  3. Vælg fanen Info.
  4. Fold Server ud.
  5. Find feltet PHP-version, og notér versionsnummeret.

Ifølge WordPress' egen sikkerhedsmeddelelse kan versionsnummeret også ofte findes i webhotellets kontrolpanel.

Vigtigt: Versionsnummeret er et udgangspunkt, ikke altid et endeligt bevis på, om installationen er beskyttet. Nogle hostingudbydere installerer sikkerhedsrettelser i deres egne PHP-pakker uden at ændre det synlige versionsnummer.

Hvilke PHP-versioner indeholder rettelsen til PHP2Shell?

PHP-projektet frigav den 21. oktober 2026 følgende versioner med rettelser til CVE-2026-109618 og CVE-2026-109619.

PHP-serie Version med de officielle PHP2Shell-rettelser
PHP 8.5 8.5.12 eller nyere i 8.5-serien
PHP 8.4 8.4.27 eller nyere i 8.4-serien
PHP 8.3 8.3.36 eller nyere i 8.3-serien
PHP 8.2 8.2.35 eller nyere i 8.2-serien

Kilde: PHP-projektets sikkerhedsmeddelelse.

Hvis du ser en ældre version end den relevante version i tabellen, bør du kontakte din hostingudbyder med det samme. Spørg, om de to konkrete CVE'er er rettet, og om rettelsen er aktiv på din hjemmeside. Du må ikke automatisk konkludere, at en lavere versionsstreng betyder, at webhotellet ikke har beskyttet systemet.

PHP 8.1 og ældre får ikke længere almindelige sikkerhedsopdateringer fra PHP-projektet. Visse Linux-leverandører og udbydere med udvidet support tilbyder dog dokumenterede backports. PHP 8.2 når desuden udløbet af sin sikkerhedssupport den 31. december 2026, så der bør lægges en plan for en nyere version.

Skal du opdatere WordPress, dine plugins eller PHP?

Det er PHP på serveren, der skal rettes for de to PHP2Shell-sårbarheder. Du bør stadig holde WordPress, temaer og plugins opdateret, men de opdateringer er ikke en erstatning for PHP-rettelsen.

WordPress-projektet oplyser udtrykkeligt, at der ikke er behov for eller planlagt en særskilt WordPress-core-opdatering til disse to fejl.

Undgå også at betragte en sikkerhedsplugin eller en web application firewall som en fuldstændig løsning. De kan begrænse visse angreb, men den egentlige rettelse skal være på plads i PHP-runtime eller være leveret som en dokumenteret leverandørpatch.

Er WordPress.com allerede beskyttet mod PHP2Shell?

Her er det afgørende at skelne mellem WordPress-softwaren og WordPress.com som hostingtjeneste.

Automattic oplyste den 21. oktober, at hjemmesider hostet på WordPress.com allerede var beskyttet mod de to offentliggjorte PHP2Shell-sårbarheder. Den meddelelse omfattede også WordPress VIP, WP Cloud og Pressable. Kunden skulle ikke selv opdatere PHP eller tage hjemmesiden offline på grund af disse to fejl. Læs WordPress.coms officielle orientering.

Bruger du derimod WordPress hos et andet webhotel, på en VPS eller på din egen server, gælder WordPress.coms garanti ikke automatisk. Har du blot tilsluttet Jetpack til din hjemmeside, gør det heller ikke din eksterne server til en WordPress.com-hostet installation.

Hvordan opdaterer du PHP sikkert hos dit webhotel?

PHP opdateres typisk gennem webhotellets kontrolpanel eller af den tekniske driftsansvarlige. Navne på menuer og opdateringsmetoder varierer mellem udbydere.

  1. Afklar, hvem der administrerer PHP. Det kan være dit webhotel, dit bureau eller en intern teknisk medarbejder.
  2. Tag backup og undersøg kompatibilitet. Ældre temaer, plugins og specialkode kan kræve tilpasninger ved skift til en nyere PHP-serie.
  3. Få rettelsen installeret. Brug en opdateret, understøttet PHP-version eller en leverandørpakke, hvor rettelserne er dokumenteret.
  4. Test vigtige funktioner. Kontrollér login, kontaktformularer, betaling, produktvisning, checkout og integrationer efter ændringen.
  5. Få en skriftlig bekræftelse. Bed om versions- eller pakkenummer, hvilke CVE'er der er dækket, og hvornår opdateringen trådte i kraft.

Har du en WooCommerce-webshop, bør du særligt teste kurv, checkout, betalingsgateway, ordremails og lagerintegrationer efter en versionsændring.

Hvis PHP ikke kan opdateres med det samme, skal udbyderen foretage en konkret risikovurdering. PHP-projektet understreger, at midlertidige afværgeforanstaltninger ikke fuldt ud erstatter sikkerhedsrettelsen. På særligt udsatte systemer kan midlertidig nedlukning være nødvendig.

Hvad skal du skrive til din hostingudbyder?

Kopiér gerne denne besked:

Hej. Vi vil gerne have bekræftet, at vores WordPress-hjemmeside er beskyttet mod PHP2Shell, CVE-2026-109618 og CVE-2026-109619. Hvilken PHP-version og eventuel leverandørpatch kører vores hjemmeside på? Er begge rettelser installeret på alle relevante miljøer, også eventuelle testmiljøer? Kan I bekræfte status skriftligt, gerne med dato for opdateringen?

Et præcist spørgsmål giver langt større værdi end et generelt svar om, at hjemmesiden er sikker.

Er der kommet nye PHP-advarsler den 23. oktober?

Ja. Den 23. oktober offentliggjorde PHP en separat informationsmeddelelse om en sjælden kombination af sessionindstillinger og programkode. Problemet får betegnelsen CVE-2026-115560, og PHP forventer at offentliggøre en fuld sikkerhedsmeddelelse med en kommende rettelse.

Denne yderligere risiko er ikke det samme som de to oprindelige PHP2Shell-sårbarheder. PHP anbefaler midlertidigt at deaktivere session.upload_progress.enabled i relevante miljøer, men påpeger samtidig, at scenariet kræver en usædvanlig ændring af sessionens serialiseringsindstilling under kørslen.

Som almindelig hjemmesideejer bør du lade den teknisk ansvarlige vurdere, om rådet er relevant for din installation. Du skal ikke selv ændre ukendte serverindstillinger uden en konkret vurdering. Læs PHP's meddelelse fra 23. oktober.

Hvordan ved du, om hjemmesiden allerede er blevet angrebet?

En sårbar PHP-version er ikke bevis for et angreb. Omvendt kan du ikke afgøre, om en server er kompromitteret, alene ved at læse versionsnummeret.

Hvis du ser usædvanlige administratorbrugere, ændrede filer, ukendte viderestillinger eller mistænkelig aktivitet, bør dit webhotel eller en sikkerhedsspecialist undersøge relevante serverlogs, hændelser og systemændringer. Ved mistanke om kompromittering er en egentlig teknisk undersøgelse nødvendig.

Hvad er forskellen på denne guide og den oprindelige PHP2Shell-artikel?

Denne guide er lavet til dig, der allerede har en WordPress-hjemmeside og vil finde PHP-versionen, få bekræftet status og kontakte den rette leverandør.

Hvis du vil forstå, hvad PHP2Shell er, hvordan fejlene virker, og hvilke andre hjemmesider og webshops der kan være påvirket, kan du læse min oprindelige gennemgang af PHP2Shell.

Ofte stillede spørgsmål om PHP2Shell i WordPress

Kan jeg selv tjekke PHP-versionen uden adgang til webhotellet?

Som regel ja. I WordPress kan du åbne Værktøjer → Webstedstilstand → Info → Server. Det fortæller, hvilken PHP-version WordPress rapporterer, men dokumenterer ikke nødvendigvis eventuelle sikkerhedsrettelser fra din hostingudbyder.

Er en opdateret WordPress-installation automatisk sikker?

Nej. PHP2Shell vedrører PHP på serveren. Derfor kan WordPress, temaer og plugins være opdaterede, selv om serveren endnu mangler en relevant PHP-rettelse.

Er WooCommerce-webshops ramt?

WooCommerce kører på WordPress og PHP, så det er den underliggende server og dens rettelsesstatus, der er afgørende. En WooCommerce-butik på WordPress.com eller en anden dokumenteret beskyttet platform kan allerede være sikret.

Skal jeg ændre min PHP-version, hvis jeg bruger WordPress.com?

Ikke for at rette de to oprindelige PHP2Shell-sårbarheder. WordPress.com har oplyst, at deres hostede installationer allerede er beskyttet. Det gælder ikke automatisk WordPress-hjemmesider hos andre webhoteller.

Officielle kilder

Senest kontrolleret 23. oktober 2026. Sikkerhedsråd kan ændre sig, efterhånden som leverandørerne offentliggør nye oplysninger.