Kort fortalt:
- Den 21. oktober 2026 kom der rettelser til to kritiske huller i selve PHP (CVE-2026-109618 og CVE-2026-109619, også kaldet PHP2Shell).
- Hullerne kan give en angriber adgang til at køre kode på serveren uden at logge ind. Det gælder også WordPress- og WooCommerce-sider.
- Rettelserne findes i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Kører du PHP 8.1 eller ældre, skal du opgradere.
- 18.957 danske hjemmesider viste i oktober en PHP-version uden sikkerhedsopdateringer, og 10.141 af dem kører PHP 7 eller ældre.
- Det vigtigste, du kan gøre i dag: tjek din PHP-version, og skriv til dit webhotel.
Den 21. oktober 2026 var der pludselig sikkerhed på forsiden af de danske medier. Ikke en ny AI-funktion eller en Google-opdatering, men et hul i PHP. Det lyder nørdet, men PHP er motoren under rigtig mange danske hjemmesider og webshops, også WordPress og WooCommerce. Så hvis du har en webshop, handler det her om din forretning. I det her indlæg gennemgår jeg, hvad der er sket, og hvad du konkret skal gøre.
Indhold:
- Hvad er der sket med PHP?
- Hvor mange danske hjemmesider kører forældet PHP?
- Hvilke PHP-versioner er sikre nu?
- Tjekliste: Sådan sikrer du din hjemmeside i dag
- Hvad betyder det for din webshop og din SEO?
- Ofte stillede spørgsmål om PHP sikkerhed
Hvad er der sket med PHP?
PHP har lukket to kritiske sikkerhedshuller, som gør det muligt at overtage en server uden login. Rettelsen kom onsdag den 21. oktober 2026.
Ifølge php.net gælder det alle PHP-installationer, der leverer websider, og PHP selv vurderer risikoen som størst ved Apache med mod_php. Begge huller har fået 9,2 ud af 10 på den internationale alvorlighedsskala, skriver DI Digital. Du kan se de tekniske detaljer i National Vulnerability Database (CVE-2026-109618) og CVE-2026-109619.
Hvad siger de danske medier?
Professor i cybersikkerhed Jens Myrup Pedersen fra Aarhus Universitet sagde til Ritzau:
“Der er rigtig mange hjemmesider, der baserer sig på PHP, og hvis sikkerhedshullet udnyttes, kan hackere overtage hjemmesiderne og få adgang til alle de data, der ligger på siden.” (Ritzau via nyheder.dk, 21/10 2026)
Han kalder det et kapløb mellem de gode it-folk og de kriminelle. Både Dansk Erhverv og DI Digital har samme dag bedt virksomheder om at kontakte deres it-leverandør med det samme. DI skriver, at det er “timer og ikke uger, der tæller”.
Bliver hullerne allerede udnyttet?
Ja, der er set angrebsforsøg. BleepingComputer skriver, at Cloudflare så de første angreb, allerede før rettelserne kom, og The Hacker News beskriver også de første forsøg på udnyttelse. Jeg har ikke set nogen kilde, der nævner bestemte danske sider, som er blevet hacket. Men at din side er sårbar, betyder ikke, at den er angrebet. Det betyder bare, at du skal handle nu.
Hvor mange danske hjemmesider kører forældet PHP?
18.957 danske hjemmesider viste i oktober en PHP-version, som PHP-projektet ikke længere sender sikkerhedsopdateringer til. Det svarer til 27,5 % af de sider, der viser deres version.
Tallene kommer fra Domæneskanner.dk, som har målt på .dk-sider med data pr. 3. oktober 2026. 10.141 af siderne kører PHP 7 eller ældre, og PHP 7.4 er den største gruppe med 4.283 sider. Domæneskanner gør også opmærksom på, at et gammelt versionsnummer ikke altid er et hul. Nogle Linux-distributioner lægger selv sikkerhedsrettelser på ældre PHP-versioner, så spørg dit webhotel, før du går i panik.
Hvilke PHP-versioner er sikre nu?
Du er dækket, hvis du kører PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller nyere. Alt under de versioner skal opdateres.
PHP-projektet understøtter i dag kun version 8.2, 8.3, 8.4 og 8.5 (se php.net/supported-versions). Læg mærke til, at PHP 8.2 kun får sikkerhedsrettelser til 31. december 2026. Står du alligevel over for en opdatering, er det derfor oplagt at gå direkte til 8.3 eller nyere.
- PHP 8.5: opdatér til 8.5.12
- PHP 8.4: opdatér til 8.4.27
- PHP 8.3: opdatér til 8.3.36
- PHP 8.2: opdatér til 8.2.35, og planlæg næste opgradering inden nytår
- PHP 8.1, 8.0, 7.x og ældre: ingen officiel udgivelse. PHP har lavet minimale rettelser i kildekoden til 7.4, 8.0 og 8.1, men for en almindelig webshop er løsningen at få flyttet sitet til en understøttet version
Tjekliste: Sådan sikrer du din hjemmeside i dag
Start med at finde din PHP-version, og skriv derefter til dit webhotel. Det tager under en halv time, og det er den vigtigste halve time i din uge.
1. Tjek din PHP-version
I WordPress kan du se den under Værktøjer → Webstedets helbred → Info → Server. Du kan også finde den i kontrolpanelet hos dit webhotel.
2. Kontakt dit webhotel eller din udvikler
Dansk Erhverv foreslår tre spørgsmål, som jeg synes er rigtig gode:
- Er vi berørt?
- Er sikkerhedsopdateringen installeret og kontrolleret?
- Har I undersøgt tegn på misbrug?
Bed gerne om svaret på skrift. Og husk, at det er selve PHP på serveren, der skal opdateres. Det er ikke nok at opdatere WordPress.
3. Skjul X-Powered-By
Mange servere fortæller hele verden, hvilken PHP-version de kører, i en header, der hedder X-Powered-By. Domæneskanner kalder det “en dårlig vane”, fordi det gør det lettere for angribere at vælge mål. Bed dit webhotel om at slå den fra (i php.ini hedder indstillingen expose_php = Off).
4. Opdatér WordPress, plugins og temaer
Hullet sidder i PHP, men de fleste kendte huller i WordPress sidder i plugins og temaer. Slå automatiske opdateringer til, og fjern plugins, du ikke bruger. Tjek også, at dine plugins kan køre på en nyere PHP-version, før du skifter.
5. Tjek for ubudne gæster
Dansk Erhverv minder om, at en opdatering ikke nødvendigvis fjerner en angriber, der allerede er kommet ind. Bed din udvikler kigge logfilerne igennem. Har serveren været udsat, så skift adgangskoder og nøgler.
Hvad betyder det for din webshop og din SEO?
Et hacket site koster dig salg, kundedata og tillid. Og hvis Google finder skadelig kode på dit site, kan det koste dig placeringer.
Jeg ser sikkerhed som en del af det tekniske fundament, ligesom hastighed og crawling. Hvis du kører WooCommerce, har jeg skrevet om, hvad du skal kigge efter i WooCommerce hosting med sikkerhed og SEO-fundament. Du kan også bruge min tekniske SEO-tjekliste til WooCommerce, og overvejer du platform, så læs Shopify vs. WooCommerce. Med Shopify er det Shopify, der står for serveren.
Har du brug for hjælp til det tekniske eller din SEO og GEO, så se vores digitale services, eller skriv til The Morning Show.
Ofte stillede spørgsmål om PHP sikkerhed
Her er svarene på de spørgsmål, jeg oftest får om PHP sikkerhed.
Gå til Værktøjer → Webstedets helbred → Info og åbn fanen Server. Her står PHP-versionen. Du kan også se den i kontrolpanelet hos dit webhotel.
Nej. Hullerne sidder i selve PHP på serveren, så det er PHP, der skal opdateres. Dansk Erhverv understreger, at en opdatering af hjemmesidens indholdssystem ikke nødvendigvis er nok.
PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 lukker de to huller. PHP 8.1 og ældre får ingen officiel udgivelse, så her skal du opgradere eller tale med dit webhotel om en løsning.
Ikke nødvendigvis. At en side er sårbar, betyder ikke, at den er angrebet. Men bed dit webhotel eller din udvikler om at tjekke logfilerne for tegn på misbrug.
PHP2Shell er navnet på de to kritiske huller CVE-2026-109618 og CVE-2026-109619, som blev rettet den 21. oktober 2026. De kan give en angriber mulighed for at køre kode på serveren uden at logge ind.