PHP-sikkerhedshullet i oktober 2026: sådan tjekker du din hjemmeside

Kører din hjemmeside på WordPress eller et andet system bygget på PHP, skal PHP være opdateret efter 21. oktober 2026. Det er ikke nok, at WordPress og dine plugins er opdateret. Tjek din PHP-version i dag, og få dit webhotel til at bekræfte på skrift, at hullet er lukket. Det tager fem minutter.

Hvad er der sket?

Den 21. oktober 2026 rettede PHP to kritiske fejl med numrene CVE-2026-109618 og CVE-2026-109619. De bliver også kaldt php2shell. Begge har fået 9,2 ud af 10 på den skala, der måler, hvor alvorlig en fejl er. I værste fald kan en fremmed køre sin egen kode på serveren uden at logge ind. Så kan de lægge skadelig kode på din side eller læse adgangskoder fra serveren.

Ifølge DI Digital bliver hullerne nu udnyttet aktivt, og de første angrebsforsøg går tilbage til 17. oktober, altså før rettelsen kom.

Hvorfor det rammer mange håndværkere

PHP er motoren bag WordPress, og rigtig mange håndværkerhjemmesider er bygget i WordPress. Domæneskanner.dk målte 3. oktober, at 18.957 danske .dk-sider viste en PHP-version, som slet ikke får sikkerhedsopdateringer længere (Morningshow). Det er typisk den side, der blev lavet for seks-otte år siden og ikke er blevet rørt siden.

Fejlen sidder i PHP, ikke i WordPress. Derfor hjælper det ikke at opdatere WordPress, temaet eller plugins, og sikkerhedsplugins som Wordfence beskytter heller ikke. Det er den, der driver serveren, der skal opdatere. Har du et almindeligt webhotel, er det webhotellet.

Sådan tjekker du din PHP-version

1. 01

   Find versionen

   Log ind i WordPress, og gå til Værktøjer → Webstedets helbred → Info → Server. Her står PHP-versionen. Bruger du ikke WordPress, kan du se den i kontrolpanelet hos dit webhotel.

2. 02

   Sammenlign med de rettede versioner

   Ifølge php.net er fejlen rettet i 8.5.12, 8.4.27, 8.3.36 og 8.2.35 og nyere. Står der 8.1, 8.0, 7.4 eller lavere, får versionen ikke længere officielle rettelser fra PHP.

3. 03

   Spørg alligevel

   Nogle webhoteller retter fejlen uden at ændre versionsnummeret. Et lavt nummer betyder derfor ikke altid, at du er sårbar, og et højt nummer betyder ikke, at serveren er genstartet. Få svaret fra webhotellet.

Det skriver du til dit webhotel

Dansk Erhverv anbefaler at få svarene på skrift. Kopiér gerne de fire spørgsmål her ind i en mail:

• Er min hjemmeside beskyttet mod CVE-2026-109618 og CVE-2026-109619, og hvornår blev det gjort?
• Hvilken PHP-version kører siden på, og får den stadig sikkerhedsopdateringer?
• Har I tjekket for tegn på indbrud fra 17. oktober og frem?
• Kører siden PHP 8.1 eller ældre: hvornår kan den flyttes til en version, der bliver opdateret?

Tegn på, at siden allerede er ramt

En opdatering fjerner ikke en angriber, der allerede er kommet ind. Hold øje med det her:

• Administratorer i WordPress, som du ikke kender
• PHP-filer i mappen med billeder og uploads (wp-content/uploads)
• Besøgende, der bliver sendt videre til spam-sider, eller sider på japansk i dine Google-resultater
• Ændringer i filen .htaccess, som hverken du eller din udvikler har lavet

Ser du noget af det, så få en udvikler til at gendanne siden fra en backup fra før 17. oktober, og skift adgangskoden til WordPress, databasen og din mail.

Ligger din side på Wix, Squarespace eller WordPress.com?

Så er det udbyderen, der står for serveren, og du skal ikke selv gøre noget ved PHP. WordPress.com skriver, at alle sider hos dem allerede er beskyttet. Bemærk forskellen: WordPress.com er en hostet tjeneste, mens de fleste håndværkere har WordPress installeret hos et almindeligt webhotel.

Næste deadline er 31. december

PHP 8.2 holder op med at få sikkerhedsopdateringer 31. december 2026. Kører din side på 8.2, skal den altså opdateres igen om to måneder. En hjemmeside er ikke færdig, når den er lavet. Nogen skal holde den opdateret, og du skal vide, hvem det er. Er der ingen, der har rørt siden i flere år, er det værd at regne på, hvad en ny hjemmeside koster, før det næste hul kommer.

Vil du have et par øjne udefra på din hjemmeside og din Google-profil, så bestil et gratis synlighedstjek.