Den 21 oktober 2026 släppte PHP rättningar för två kritiska säkerhetshål som lät en angripare köra egen kod på en webbserver utan att logga in. I väntan på rättningen stängde Finlands statliga it-central regeringens webbtjänster och Nederländernas parlament tog ned sin webbplats. Den som har en webbplats hos ett webbhotell behöver oftast inte göra något, men den som sköter en egen server behöver uppdatera.
Varningen kom dagen före rättningen
PHP är programspråket bakom WordPress, Drupal och Joomla, och enligt uppskattningar som The Record citerar använder över 70 procent av alla webbplatser PHP. Den 20 oktober varnade PHP:s säkerhetsteam för att en rättning av två kritiska hål skulle komma dagen efter, och bad alla förbereda sig. Båda hålen fick 9,2 av 10 på den skala som används för att gradera säkerhetshål.
Rättningen kom vid 16-tiden svensk tid den 21 oktober, i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Under tiden stängde flera organisationer av sina tjänster för säkerhets skull. Enligt SVT, som hänvisar till Reuters, stängde Finlands statliga it-central Valtori regeringens publika webbtjänster, Nederländernas andra kammare togs tillfälligt ned och Wikimedia, som driver Wikipedia, stängde av flera funktioner.
Cloudflare säger att bolaget har sett försök att angripa sina kunders webbplatser. Nationellt cybersäkerhetscenter hade på onsdagen inga uppgifter om att hålen utnyttjats. "Det är allvarligt och det kommer säkert att finnas de som drabbas", sade centrets chef John Billow till SVT.
Webbhotellen uppdaterar, VPS-ägare gör det själva
Hålen finns i PHP på servern. Den som besöker en webbplats behöver alltså inte uppdatera sin dator eller mobil, och att uppdatera WordPress uppdaterar inte PHP. Det är den som driver servern som ska installera rättningen.
Har du ett vanligt webbhotell sköter leverantören det. Hostinger skriver till exempel att rättningen fanns på alla deras servrar den 22 oktober och att kunder med webbhotell inte behöver göra något. Det gäller inte Hostingers VPS-kunder, som själva sköter PHP på sin server. Den som har en VPS eller en egen server utan skötsel från leverantören behöver alltså installera någon av de nya versionerna själv.
Är du osäker på vad som gäller din webbplats: fråga ditt webbhotell vilken PHP-version servern kör och om den har fått rättningen. Det är också Bahnhofs råd till webbplatsägare.
Äldre versioner av PHP får ingen rättning
CERT-SE skriver att hålen finns i PHP 5 och alla senare versioner. PHP-projektet rättar bara 8.2 och nyare, så den som kör PHP 8.1 eller äldre får ingen uppdatering därifrån. Vissa leverantörer rättar äldre versioner på egen hand, men den säkra vägen är att byta till en version som får stöd. Även PHP 8.2 slutar få säkerhetsuppdateringar den 31 december 2026.
Den 23 oktober meddelade PHP ett tredje, mindre troligt sätt att angripa en server, som rättas i nästa version. Tills dess råder PHP den som sköter en egen server att stänga av inställningen session.upload_progress. Kan servern inte uppdateras alls råder CERT-SE att den kopplas bort från internet och att den undersöks efter tecken på intrång. Hur du märker att en webbplats tagits över står i vår guide om vad du gör när sidan är hackad.
