Onsdag 21. oktober 2026 slapp PHP en akutt sikkerhetsoppdatering for to kritiske sårbarheter. PHP er programmeringsspråket som driver WordPress og WooCommerce, og dermed de aller fleste norske nettsider og nettbutikker. Her forklarer vi hva som har skjedd, om det gjelder deg, og hva du bør gjøre nå.
Hva har skjedd?
Sikkerhetsteamet i PHP har rettet to feil som begge er vurdert som kritiske, med en score på 9,2 av 10.
Feilene har fått numrene CVE-2026-109618 og CVE-2026-109619. De gjør det mulig for en angriper å kjøre egen kode på serveren over internett, uten å logge inn. I verste fall kan det føre til datatyveri, endret innhold på nettsiden eller at noen overtar hele serveren.
Informasjon om feilene lakk ut før rettelsen var klar, og det sirkulerer allerede angrepskode på nettet. Cloudflare melder om de første angrepsforsøkene. Nasjonal sikkerhetsmyndighet (NSM) og EUs cybersikkerhetssenter CERT-EU ba virksomheter oppdatere umiddelbart, og å ta berørte systemer av nett der det ikke var mulig. Flere offentlige etater, blant annet i Nederland og Finland, tok nettsider ned i påvente av oppdateringen.
Rettelsen er nå ute i PHP-versjonene 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Ifølge PHP finnes det ingen midlertidig løsning som fjerner risikoen helt. Det eneste trygge er å oppdatere.
Gjelder dette meg?
Har du en nettside eller nettbutikk på WordPress eller WooCommerce, er svaret ja, inntil serveren din kjører en rettet PHP-versjon. Feilen sitter ikke i WordPress, men i PHP, som ligger under. Det betyr også at det ikke hjelper å oppdatere WordPress eller utvidelsene. PHP må oppdateres på serveren, og det gjør som regel hostingleverandøren. Spesielt utsatt er du hvis nettsiden kjører på PHP 8.1 eller eldre. Disse versjonene får ikke
lenger vanlige sikkerhetsoppdateringer. PHP har laget en nødrettelse også for 7.4, 8.0 og 8.1, men den må bygges inn manuelt, og den langsiktige løsningen er å oppgradere til en nyere versjon.
Dette gjelder ikke bare WordPress. Drupal, Joomla, Magento og mange andre systemer bygget på PHP er like utsatt.
Dette bør du gjøre nå
- Sjekk hvilken PHP-versjon du har. I WordPress finner du det under Verktøy, Nettstedshelse, Info, Server. Står det 8.2.35, 8.3.36, 8.4.27 eller 8.5.12, eller et høyere tall i samme serie, er rettelsen på plass.
- Kontakt hostingleverandøren. Spør om de har installert den rettede PHP-versjonen på serveren din, og når.
- Bytter du versjon selv i kontrollpanelet, for eksempel i cPanel, må du sjekke at versjonen du velger inneholder rettelsen.
- Kjører du PHP 8.1 eller eldre, bør du planlegge en oppgradering nå. Test gjerne nettsiden på en kopi først, slik at tema og utvidelser fungerer med den nye versjonen.
- Følg med på nettsiden de neste dagene. Se etter ukjente administratorbrukere, endret innhold eller filer du ikke kjenner igjen, og ta kontakt med oss hvis noe virker rart.
Slik hjelper vi deg
Alle nettsider vi drifter, kjører nå en PHP-versjon som får sikkerhetsrettelsen, og sidene vi oppgraderte er testet. Selve rettelsen installeres av vår hostingleverandør, og vi følger opp til den er på plass.
Er du usikker på om nettsiden din er trygg, eller hostes den et annet sted? Ta kontakt med oss, så sjekker vi PHP-versjonen og hjelper deg med oppdatering eller oppgradering. Kjører nettsiden på en gammel PHP-versjon, kan vi også hjelpe deg med å flytte til en moderne og trygg løsning, med minimal nedetid.
Kilder
PHP: Security release, update now (php.net)NSM: To kritiske sårbarheter i PHP
CERT-EU: Security Advisory 2026-018, Critical Vulnerabilities in PHP
kode24: PHP-sårbarheter
Patchstack: PHP vulnerable to critical RCE
Sansec: PHP2Shell
