Den 20 oktober 2026 kom nyheten om två kritiska säkerhetshål i programmeringsspråket PHP, som används av en stor del av världens webbplatser, bland annat WordPress.
Sårbarheterna är så pass allvarliga att hackare i vissa fall kan köra skadlig kod direkt på en webbserver utan att behöva några inloggningsuppgifter.
Redan den 21 oktober släpptes säkerhetsuppdateringar som åtgärdar problemen.
Har du en hemsida som använder PHP bör du därför kontrollera att ditt webbhotell har installerat de senaste uppdateringarna.
Vad är det som har hänt?
Två kritiska sårbarheter har upptäckts i själva PHP, alltså programmeringsspråket som används för att driva många webbplatser och webbaserade system.
Sårbarheterna har fått beteckningarna:
- CVE-2026-109618
- CVE-2026-109619
Båda kan göra det möjligt för angripare att köra kod på en sårbar webbserver på distans, utan att först behöva logga in.
Det innebär att en hackare potentiellt skulle kunna komma åt känslig information, påverka webbplatsens funktion eller använda servern för andra skadliga ändamål.
Det är viktigt att förstå att detta inte är ett specifikt säkerhetshål i WordPress. Problemet finns i PHP, vilket innebär att även andra system och webbplatser som använder PHP kan påverkas.
Att din webbplats använder en sårbar PHP-version betyder däremot inte automatiskt att den har blivit hackad.
Vilka webbplatser påverkas?
PHP används av många populära publiceringssystem, bland annat WordPress, Joomla och Drupal.
Men även specialbyggda webbplatser, e-handelslösningar och andra webbaserade applikationer kan använda PHP.
Det är framför allt webbserverns PHP-installation som behöver kontrolleras.
Om du har ett vanligt webbhotell är det oftast webbhotellet som ansvarar för uppdateringarna av PHP. Har du en egen VPS eller server kan ansvaret i stället ligga på dig eller den som administrerar servern.
Vad kan och bör du göra?
Det viktigaste är att säkerställa att din PHP-installation har fått de senaste säkerhetsuppdateringarna.
För de PHP-versioner som fortfarande stöds har följande uppdateringar släppts:
| PHP-version | Säkerhetsuppdatering |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Om ditt webbhotell använder någon av dessa versioner, eller en senare uppdatering inom samma versionsserie, ska de aktuella säkerhetshålen vara åtgärdade.
Vissa webbhotell och serverleverantörer installerar också säkerhetsfixar i äldre PHP-versioner utan att själva versionsnumret ändras.
Därför är det bästa att kontakta ditt webbhotell och fråga om de har åtgärdat CVE-2026-109618 och CVE-2026-109619.
Så kontrollerar du din PHP-version i WordPress
Om du använder WordPress kan du enkelt se vilken PHP-version din webbplats använder.
- Logga in på din WordPress-webbplats via
dindomän.se/wp-admin. - Gå till Verktyg → Hälsokontroll för webbplats.
- Klicka på fliken Information.
- Öppna avsnittet Server.
- Leta efter PHP-version.
Här ser du vilken PHP-version din webbplats använder.
Tänk på att detta endast visar versionsnumret. För att vara helt säker på att de aktuella säkerhetshålen är åtgärdade kan du behöva kontrollera med ditt webbhotell.
Använder du något annat CMS kan du också kontakta ditt webbhotell för att få information om vilken PHP-version som används.
Vad händer om du använder en äldre PHP-version?
Om du fortfarande använder PHP 8.1 eller äldre bör du se över möjligheten att uppgradera så snart som möjligt.
Dessa versioner får inte längre ordinarie säkerhetsuppdateringar från PHP-projektet, även om vissa leverantörer erbjuder utökat stöd.
Även PHP 8.2 närmar sig slutet av sin supportperiod, som upphör den 31 december 2026.
Det är därför klokt att planera för en uppgradering till en nyare PHP-version som fortfarande får säkerhetsuppdateringar.
Innan du uppgraderar bör du kontrollera att din webbplats, dina teman och eventuella tillägg fungerar med den nya versionen. Ta också en säkerhetskopia innan du genomför ändringen.
Mitt råd: Kontakta ditt webbhotell
Det här är säkerhetshål som bör tas på allvar, särskilt eftersom de kan utnyttjas utan några inloggningsuppgifter.
Om du är osäker på vilken PHP-version din hemsida använder eller om ditt webbhotell har installerat de senaste säkerhetsuppdateringarna, kontakta dem och fråga.
Du behöver inte kunna något om programmering för att göra den kontrollen.
Det viktigaste är att säkerställa att din webbplats använder en PHP-version som fortfarande får säkerhetsuppdateringar och att de två aktuella sårbarheterna har åtgärdats.
Har du inte kollat detta ännu rekommenderar jag att du gör det så snart som möjligt.
Källor och mer information
- PHP officiella säkerhetsinformation: https://www.php.net/archive/2026.php
- PHP-versioner och supportperioder: https://www.php.net/supported-versions.php
- WordPress guide för att kontrollera PHP-version: https://sv.wordpress.org/support/update-php/
