Digital Rådgiver PHP-sjekk

Er nettsiden din berørt av de kritiske PHP-hullene?

Skriv inn adressen, så ser vi hvilken PHP-versjon serveren oppgir og om den har fått rettelsen. Du trenger ingen teknisk kunnskap, og du får svaret med én gang.

To kritiske sårbarheter i PHP (php2shell) ble rettet 21. oktober 2026. Sjekken leser bare hvilken PHP-versjon serveren selv oppgir, og prøver aldri å bryte seg inn. Resultatet lagres ikke med mindre du selv bestiller rapporten.

php2shell

Hva har skjedd?

Onsdag 21. oktober 2026 slapp PHP-prosjektet en akutt sikkerhetsoppdatering for to kritiske sårbarheter i selve PHP, CVE-2026-109618 og CVE-2026-109619. Sammen kalles de «php2shell». Begge har alvorlighetsgrad 9,2 av 10, og kan gi en angriper mulighet til å kjøre egen kode på serveren uten å logge inn. NSM varslet samme dag, og flere offentlige nettsteder i Norge ble tatt ned til rettelsen var på plass.

Rettelsen finnes i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. PHP 8.1 og eldre får ingen rettelse fra PHP-prosjektet. Ifølge PHP finnes det ingen midlertidig løsning som fjerner risikoen helt, så oppdatering er det eneste trygge.

Hvem er berørt?

Alle nettsider som kjører PHP uten rettelsen

Rundt tre av fire nettsteder i verden bruker PHP. Det betyr ikke at alle er angrepet, men alle som kjører en versjon uten rettelsen bør oppdatere nå.

Feilen sitter i PHP

WordPress, WooCommerce, Drupal, Joomla og Magento kjører alle på PHP. Nettsiden kan være sårbar selv om all koden er oppdatert, fordi feilen ligger i motoren under.

Oppdatering av WordPress hjelper ikke

Det er PHP på serveren som må oppdateres. På et webhotell gjør som regel webhotellet det. Har dere egen server, må dere gjøre det selv.

Ikke bare nettsiden

Intranett, kundeportaler, booking, nettbutikk og kontrollpaneler bruker ofte PHP uten at det synes. Sjekk alle systemer som svarer på nettet.

Sjekk selv

Slik finner du PHP-versjonen

Mange servere skjuler PHP-versjonen, og det er god praksis. Da kan ingen sjekk utenfra gi et sikkert svar, og du må se etter selv.

  • I WordPress: Gå til Verktøy → Nettstedshelse → Info → Server. Der står PHP-versjonen.
  • Hos webhotellet: PHP-versjonen vises i kontrollpanelet, ofte under «PHP-innstillinger» eller «Velg PHP-versjon». Er du usikker, spør kundeservice om serveren har fått rettelsen fra 21. oktober.
  • På egen server: Kjører dere Ubuntu, Debian eller Red Hat, sjekk at PHP-pakkene er oppdatert. Distribusjonene legger inn rettelsen uten å endre versjonsnummeret. Start PHP-FPM eller webserveren på nytt etterpå.
Sjekk nettsidenBook 30 minutter

Trygg og passiv

Slik fungerer sjekken

Sjekken bruker bare informasjon serveren selv deler med alle besøkende. Et funn er derfor en sterk indikasjon, ikke en bekreftelse. Den som drifter serveren har alltid siste ord.

Dette gjør sjekken

  • Besøker nettsiden som en vanlig nettleser
  • Leser PHP-versjonen hvis serveren oppgir den
  • Ser etter WordPress og andre PHP-systemer
  • Sammenligner med de rettede versjonene

Dette gjør den ikke

  • Prøver aldri å utnytte sårbarheten
  • Sender ingen spesiallagde forespørsler
  • Logger ikke inn eller leser innhold bak innlogging
  • Lagrer ikke resultatet med mindre du bestiller rapporten

Spørsmål og svar om php2shell

php2shell er navnet på to kritiske sårbarheter i PHP, CVE-2026-109618 og CVE-2026-109619, som ble rettet 21. oktober 2026. Begge har alvorlighetsgrad 9,2 av 10 og kan gi en angriper mulighet til å kjøre kode på serveren uten å logge inn.

Det avhenger av PHP-versjonen på serveren, ikke av WordPress. Kjører serveren PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 eller nyere, er rettelsen på plass. Er versjonen lavere, eller 8.1 og eldre, bør PHP oppdateres nå.

Nei, ikke mot denne feilen. WordPress, tema og utvidelser bør du holde oppdatert uansett, men php2shell sitter i PHP på serveren, og det er PHP som må oppdateres.

I WordPress står den under Verktøy → Nettstedshelse → Info → Server. Du finner den også i kontrollpanelet hos webhotellet, eller du kan spørre webhotellet direkte.

Serveren forteller ikke hvilken PHP-versjon den bruker. Det er god sikkerhetspraksis, men betyr ikke at serveren er oppdatert. Sjekk versjonen selv, eller be webhotellet bekrefte at rettelsen er lagt inn.

Ubuntu, Debian og Red Hat legger inn sikkerhetsrettelser i sine egne PHP-pakker uten å endre versjonsnummeret. En server kan derfor vise en eldre versjon og likevel være rettet. Den som drifter serveren må sjekke at pakkene er oppdatert.

Ja. Sjekken besøker nettsiden slik en vanlig nettleser gjør og leser det serveren selv oppgir. Den prøver aldri å utnytte sårbarheten. Resultatet lagres ikke, med mindre du bestiller rapporten på e-post.

Ja. Vi kan ta kontakt med webhotellet, oppdatere PHP, teste at nettsiden fungerer etterpå og se etter tegn på innbrudd. Book 30 minutter, eller les om Din IT-avdeling hvis dere vil at noen følger med for dere.

Vil du at vi fikser det for deg?

Vi sjekker PHP-versjonen, tar kontakt med webhotellet og tester at nettsiden virker etter oppdateringen. Ta en uforpliktende prat på 30 minutter.

Book 30 minutterSjekk en nettside til