PHP2Shell: kritiske sikkerhetshull i PHP. Er nettsiden din rammet?
To kritiske sikkerhetshull i PHP lar angripere ta over servere uten å logge inn. Her er hva PHP2Shell er, hvem som er rammet, hva du må gjøre nå, og hvorfor en statisk nettside ikke har noe PHP å angripe.
Onsdag 21. oktober 2026 slapp PHP-prosjektet en nødoppdatering for to kritiske sikkerhetshull. Samme dag stengte eller oppdaterte flere norske nettsteder sidene sine, og Nasjonal sikkerhetsmyndighet (NSM) ba alle som bruker PHP om å oppdatere så snart som mulig. Hullene har fått kallenavnet PHP2Shell.
PHP er språket under WordPress, Drupal, Joomla og mange webhoteller. Ifølge W3Techs bruker 69,3 prosent av nettstedene der serverspråket kan identifiseres, PHP. Har bedriften din en nettside, er sjansen stor for at dette angår deg.
Status per 22. oktober 2026. Saken er i bevegelse, så sjekk kildene nederst for det siste.
Hva har skjedd?
Det er funnet to feil i selve PHP, ikke i en utvidelse eller et publiseringsverktøy:
- CVE-2026-109618: minnefeil når en forespørsel går tom for minne.
- CVE-2026-109619: data fra én forespørsel kan leve videre og misbrukes av den neste.
Begge er gradert 9,2 av 10, og begge kan la en angriper kjøre egen kode på serveren uten å logge inn. PHP-prosjektet skriver at alle PHP-installasjoner som svarer på nettforespørsler er utsatt, og at risikoen er høyest for oppsett med Apache og mod_php. Der kan angrepet skje med én enkelt forespørsel, før nettsidens egen kode i det hele tatt har startet.
Hullene ble funnet av sikkerhetsselskapet Wiz, som brukte AI-modeller i arbeidet. Wiz viste at hullene kunne brukes til å ta over nyeste versjon av både WordPress, Drupal og Joomla. Feilen ligger i PHP, så det spiller ingen rolle hvor godt WordPress er vedlikeholdt.
Hvor alvorlig er det?
Svært. Noen tall og fakta så langt:
- Angrep før offentliggjøring. Amazon registrerte et utnyttelsesforsøk 17. oktober, fire dager før hullene ble kjent, og anbefaler å undersøke systemer fra og med den datoen.
- Masseforsøk etter offentliggjøring. Ifølge ITavisen sier Cloudflare-sjef Matthew Prince at selskapet så hundretusener av forsøk i løpet av to timer etter at oppdateringen kom. Det er forsøk, ikke bekreftede innbrudd.
- Norske nettsteder stengt. NRK meldte at blant andre Digitaliseringsdirektoratet, Feide, OsloMet og Universitetet i Stavanger stengte eller oppdaterte sidene sine samme dag.
- Gamle versjoner står uten hjelp. PHP 8.1 og eldre får ikke lenger oppdateringer fra PHP-prosjektet.
NSM opplyste 21. oktober at de ikke var kjent med at hullene var aktivt utnyttet, men at de ventet fungerende angrepskode innen kort tid.
Hva du må gjøre nå
Har du en nettside på WordPress, Drupal, Joomla eller et annet PHP-basert system:
- Kontakt webhotellet eller den som drifter serveren. Dette rettes på serveren, ikke i WordPress. Å oppdatere WordPress og utvidelsene hjelper ikke mot akkurat dette.
- Spør hvilken PHP-versjon siden kjører. Svaret skal være 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, eller nyere.
- Kjører den PHP 8.1 eller eldre, må den oppgraderes. Gamle versjoner får ingen offisiell rettelse, og gamle nettsider tåler ikke alltid en ny PHP-versjon uten justeringer.
- Kan det ikke rettes med en gang, ta siden ned. Både britiske NCSC og CERT-EU anbefaler å koble fra systemer som ikke kan sikres raskt.
- Be om en sjekk for innbrudd. Siden angrep ble sett allerede 17. oktober, er det ikke nok å oppdatere. Noen bør se etter tegn på at serveren allerede er tatt.
Merk også: PHP 8.2 når slutten av sin levetid 31. desember 2026. Står siden på 8.2 i dag, er det bare utsatt.
Hvorfor en statisk nettside ikke er rammet
En WordPress-side bygges på nytt hver gang noen besøker den: PHP kjører, henter innhold fra en database og setter sammen siden. Det betyr at det alltid står et program klart til å ta imot forespørsler fra hvem som helst på internett. Det er det programmet PHP2Shell angriper.
En statisk nettside fungerer annerledes. Sidene bygges én gang, når noe endres, og legges ut som ferdige filer. Når noen besøker siden, får de bare filen. Det kjører ikke noe PHP, det finnes ingen database bak sidene, og det er ingen innlogging til et publiseringsverktøy som kan knekkes.
Det er slik jeg bygger nettsider. Der en side trenger noe som skjer på serveren, som et kontaktskjema eller en påmelding, er det skrevet som små, avgrensede funksjoner som kjører på hostingplattformen, ikke en PHP-server noen må huske å oppdatere.
Statisk betyr ikke immun mot alt. Domene, e-post og kontoer må fortsatt sikres. Men en hel klasse problemer, den som PHP2Shell tilhører, er borte, fordi det ikke er noe der å angripe.
Og hvem holder øye med det?
Mange WordPress-sider blir laget, lansert og så glemt. Ingen oppdaterer utvidelsene, ingen vet hvilken PHP-versjon webhotellet kjører, og ingen merker det når noe går galt. Det er de sidene som er mest utsatt nå.
Med Website-vaktmester får du en statisk nettside uten PHP og uten CMS, og jeg drifter den: hosting er inkludert, jeg følger med, og jeg publiserer det dere sender meg. Det koster fra 2 450 kr/mnd eks. mva. ved årsbetaling, med 30 dagers oppsigelse. Da er det ikke deres jobb å lese sikkerhetsvarsler fra NSM.
Trenger du hjelp med selve flyttingen fra WordPress, er det en ny nettside, og vaktmesteravtalen kan legges til etterpå. Les gjerne hvordan Døhlen Dekor og Yogasonen gikk over til statiske sider, og hva det gjorde med farten.
