PHP2Shell: det här behöver ni veta om sårbarheten i PHP

Den 20 oktober 2026 blev det känt att PHP, programspråket som bland annat alla WordPress-sajter körs på, hade två allvarliga säkerhetshål. Felen fick samlingsnamnet PHP2Shell. Vi har kontrollerat alla våra kunders webbplatser, och ingen av dem är påverkad. Felet är nu åtgärdat hos de webbhotell våra kunder använder, så ni behöver inte göra något.

Här förklarar vi kort vad som hänt och vad det betyder för er.

Vad är PHP2Shell?

PHP är ett programspråk som arbetar i bakgrunden på webbhotellets server. Det är PHP som bygger ihop sidorna när någon besöker en WordPress-sajt. En mycket stor del av alla webbplatser i världen använder det.

PHP2Shell är namnet på två sårbarheter i PHP, med de tekniska beteckningarna CVE-2026-109618 och CVE-2026-109619. I värsta fall skulle de kunna låta en angripare köra egen kod på servern, och därmed ta sig in på webbplatsen. PHP:s säkerhetsteam bedömde felen som kritiska, och nyheten fick stor spridning, bland annat i The Hacker News.

Det viktiga att veta är att felet satt i PHP självt, inte i WordPress eller i någon enskild webbplats. Därför är det webbhotellen som behöver uppdatera PHP på sina servrar.

Vad har hänt sedan dess?

Det har gått snabbt:

• 20 oktober: Sårbarheterna blir kända och PHP aviserar en säkerhetsuppdatering.
• 21 oktober: PHP släpper rättelsen. Webbhotellen slår samtidigt på extra skydd som blockerar kända attackförsök.
• 21–22 oktober: Webbhotellen installerar de uppdaterade PHP-versionerna på sina servrar.

Webbhotellen har gått ut med information om hur de har hanterat sårbarheten:

• Oderland har uppdaterat samtliga PHP-versioner på sina webbhotell.
• Beebyte valde att tillfälligt stänga ner webbplatser med äldre PHP-versioner tills rättelsen var på plats. Ingen av våra kunders webbplatser berördes av det, eftersom alla kör nyare versioner.
• Simply skyddade sina servrar mot kända attackmetoder redan innan rättelsen fanns och installerade den samma dag som den släpptes. PHP 7.4 och alla nyare versioner är nu rättade på deras servrar.
• Inleed har uppgraderat PHP på sina webbhotell och servrar. Under arbetet stängde de tillfälligt av filuppladdningar och formulär med bilagor, och de begränsningarna lyfts nu bort steg för steg.
• Loopia har installerat säkerhetsuppdateringarna på alla berörda servrar och skyddat sina brandväggar mot försök att utnyttja sårbarheten.
• one.com har uppdaterat alla PHP-versioner de erbjuder. Under arbetet var bland annat uppladdningar till webbplatser och phpMyAdmin tillfälligt avstängda, men allt är nu återställt.
• Templ har installerat rättelsen för PHP 8.2 och nyare i hela sin miljö, och nästan alla webbplatser med äldre versioner är också uppdaterade. Webbplatser på PHP 8.2 eller nyare behöver inte göra något.
• WP Engine skyddade sina kunder via sitt CDN redan innan rättelsen fanns och har sedan uppdaterat alla PHP-versioner på sin plattform. Deras kunder behöver inte göra något.

Vad har vi gjort?

När sårbarheterna blev kända gick vi igenom alla webbplatser vi förvaltar. Vi har kontrollerat vilket webbhotell och vilken PHP-version varje sajt använder, följt webbhotellens arbete och kontrollerat att uppdateringarna är på plats. Ingen av våra kunders webbplatser är påverkad.

Alla våra kunders webbplatser kör PHP 8.3 eller nyare, och de flesta kör 8.4. Det är versioner som får löpande säkerhetsuppdateringar och som fick rättelsen direkt. Uppgraderingen till den senaste versionen, PHP 8.5, är redan på gång.

Behöver ni göra något?

Nej. Ligger er webbplats hos något av de webbhotell våra kunder använder är den uppdaterad. Har ni en webbplats på en egen server, hos ett annat webbhotell eller som vi inte förvaltar, är det värt att kontrollera att PHP har uppdaterats. Hör av er så hjälper vi till.

Varför uppdateringar är så viktiga

PHP2Shell är en påminnelse om att en webbplats aldrig är riktigt färdig. Programvaran den bygger på får hela tiden nya uppdateringar, och ibland är de brådskande. Särskilt utsatta är sajter som körs på gamla PHP-versioner som inte längre får några rättelser. Det var just sådana som några webbhotell valde att stänga ner tillfälligt. Därför ser vi till att våra kunders webbplatser alltid kör versioner som fortfarande får säkerhetsuppdateringar.

En webbplats som hålls uppdaterad och har någon som har ansvar för den klarar sig nästan alltid bra, även när stora sårbarheter blir kända. Läs mer om vår förvaltning och vårt underhåll, eller om hur vi arbetar med WordPress. Undrar ni hur vi valde plattform för vår egen sajt kan ni läsa WordPress vs. Astro.