Kritisk PHP-fejl, hvad det betyder, og hvad du skal gøre

Tirsdag den 21. oktober 2026 udsendte PHP-projektet en hastereparation af to fejl, der har ligget gemt i koden i årevis. Begge er vurderet til 9,2 ud af 10 på den skala, sikkerhedsfolk bruger, og det er meget højt. Fejlene har fået kaldenavnet PHP2Shell.

Hvis du ikke selv har en hjemmeside, skal du formentlig ikke gøre noget. Men du vil måske mærke det alligevel i dag, og det er værd at forstå hvorfor.

Hvad er PHP overhovedet?

PHP er et programmeringssprog, som en meget stor del af verdens hjemmesider er bygget i. Du har aldrig set det, og det er meningen: PHP kører inde på serveren, ikke i din browser. Når du åbner en nyhedsside, en webshop eller din forenings hjemmeside, er det ofte PHP, der henter teksten frem fra databasen og sætter siden sammen, lige inden den bliver sendt til din skærm.

Det gør PHP til en slags fælles fundament. WordPress er bygget i PHP. Det samme er Drupal, Joomla, Magento og en stribe webshopsystemer. Når der er en alvorlig fejl i selve fundamentet, arver alle husene ovenpå den.

Hvorfor den her fejl er alvorlig

De fleste sikkerhedshuller handler om, at nogen kan se noget, de ikke må se. Det her er værre. De to fejl gør det muligt for en fremmed at få serveren til at køre sine egne kommandoer, ikke bare læse en side, men bestemme hvad serveren skal gøre. Det er omtrent forskellen på at kigge ind ad vinduet og at have nøglen til hoveddøren.

Og angriberen behøver ikke logge ind først. Sikkerhedsforskere har allerede vist, at én enkelt forespørgsel udefra er nok til at udløse det. Der er ingen adgangskode at gætte og ingen konto at bryde ind på.

Fejlene blev fundet af sikkerhedsfirmaet Wiz og har efter alt at dømme været i PHP siden midten af 00’erne. De er altså ikke nye, de har bare ikke været fundet før.

Derfor hastede det ekstra meget

Normalt følger den slags en aftalt rækkefølge: rettelsen bliver lavet først, og detaljerne bliver først offentliggjort bagefter, så alle kan nå at opdatere. Sådan gik det ikke her. Detaljerne slap ud dagen før, den 20. oktober, altså før rettelsen var klar.

Det vendte situationen på hovedet. I stedet for at have et forspring havde de, der skal beskytte serverne, pludselig et efterslæb, og angriberne havde en opskrift. Det er grunden til, at rettelsen blev sendt ud med få timers varsel, og at en del hjemmesider kan opføre sig underligt netop i dag.

Hvis du bare bruger internettet

Der er ikke noget, du skal installere. Det her er ikke som en opdatering til din telefon eller computer. Fejlen sidder på serverne ude i den anden ende, og den bliver rettet af dem, der driver hjemmesiderne.

Tre ting er værd at vide alligevel:

• Sider kan være nede eller langsomme i dag. Når en server får ny PHP, skal den som regel genstartes. Tusindvis af udbydere gør det samtidig lige nu, og det giver korte udfald, der ikke er indbrud, men vedligeholdelse.
• Genbrug ikke adgangskoder. Det gode råd er altid godt, men det er ekstra relevant i de uger, hvor mindre sider kan blive ramt. Bliver en lille forening hacket, må den adgangskode ikke også åbne din mail.
• Du skal ikke gøre noget i panik. Der er ingen grund til at skifte alle dine koder i dag. Hvis en konkret tjeneste bliver ramt, siger de det selv, og så handler du på det.

Hvis du har en hjemmeside

Så skal du handle i dag. De rettede udgaver er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, alle udsendt den 21. oktober. Kører du en ældre version end den, der passer til din gren, er du sårbar.

Kører din side hos et almindeligt webhotel, kan du som regel ikke selv opdatere PHP. Det er udbyderens opgave. Det, du kan gøre, er at skrive til dem og spørge, hvornår de har rettet det. Et seriøst webhotel har svaret klar.

Og her er en fælde, der er værd at kende: i kontrolpanelet på de fleste webhoteller kan du selv skifte mellem PHP-versioner. Det hjælper ikke nødvendigvis. Har udbyderen ikke installeret de nye udgaver endnu, er samtlige versioner i menuen de gamle, og så flytter du bare fra én sårbar version til en anden. Spørg udbyderen i stedet for at gætte ud fra menuen.

Din situation	Hvad du gør
Du har en side på et webhotel	Skriv til udbyderen i dag og spørg, hvornår PHP er opdateret
Du har din egen server	Opdater til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 og genstart
Du bruger et bureau	Send dem et link til den her artikel og bed om en bekræftelse
Du kan ikke opdatere lige nu	Britiske NCSC anbefaler at overveje at tage systemet offline indtil videre
Du er usikker på din version	Spørg udbyderen. I WordPress står den under Værktøjer og Webstedshelbred

Tag en sikkerhedskopi af både filer og database, før der bliver rørt ved noget. Det er ikke fordi opdateringen er farlig, men fordi en frisk kopi er det eneste, der hjælper, hvis det viser sig, at nogen allerede har været inde.

Hvad vi ser herfra

Vi måler en lang række danske tjenester hvert andet minut, og i dage som denne ser billedet typisk sådan ud: mange korte udfald spredt ud over dagen, i stedet for ét stort nedbrud ét sted. Det er lyden af, at udbyderne opdaterer og genstarter i hold.

Oplever du, at en side er væk i et par minutter og så er tilbage, er det altså sandsynligvis helt almindeligt arbejde, ikke et angreb. Du kan slå den enkelte tjeneste op her på siden og se, om andre melder det samme.

Kilder

Fejlene har numrene CVE-2026-109618 og CVE-2026-109619. De er beskrevet af PHP-projektet selv, og danske DKCERT har udsendt en advarsel på dansk. Opdateres løbende, efterhånden som billedet bliver klarere.