Den 21 oktober 2026 släppte PHP en säkerhetsuppdatering för två kritiska sårbarheter. I värsta fall kan de låta en angripare köra egen kod på servern där din hemsida ligger, utan att först behöva logga in. Säkerhetsmyndigheter i Storbritannien, EU och Australien uppmanar alla som använder PHP att uppdatera direkt, och i Nederländerna har flera myndigheter valt att stänga ner sina webbplatser tills de är säkrade.För alla som driver en sajt i WordPress är säkerhet nu en fråga som inte kan vänta.
Kör din hemsida eller webbutik på WordPress berörs du nästan säkert. Här går vi igenom vad som har hänt, hur du kontrollerar din sajt och vad du behöver göra nu.
Vad har hänt?
PHP är det programmeringsspråk som WordPress, WooCommerce, Joomla, Drupal och Magento är byggda på. Det driver en stor del av alla webbservrar i världen, ofta utan att den som äger hemsidan vet om det.
Den 20 oktober gick PHP ut med en förvarning om en kritisk säkerhetsuppdatering, och dagen efter kom den. Båda sårbarheterna har fått allvarlighetsgraden 9,2 av 10. Enligt EU:s organisation för cybersäkerhet, CERT-EU, innebär det att en angripare kan köra kod på servern utan att vara inloggad. På så sätt kan angriparen installera skadlig kod eller ta ner webbplatser.
Cloudflare, som skyddar en stor del av all trafik på internet, säger att de redan ser de första attackerna. Storbritanniens nationella cybersäkerhetscenter, NCSC, skriver att organisationer som inte kan uppdatera direkt bör överväga att stänga ner systemet tills problemet är åtgärdat.
Vilka versioner berörs?
PHP har rättat sårbarheterna i följande versioner:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Enligt PHP är en uppdatering det enda fullständiga skyddet. Kör din sajt en äldre version, som PHP 7 eller tidigare, finns ingen rättelse alls. Då behöver du flytta sajten till en version som fortfarande får säkerhetsuppdateringar. Tänk också på att PHP 8.2 slutar få uppdateringar den 31 december 2026.
Så kontrollerar du din PHP-version
Det tar en minut att se vilken version din WordPress-sajt kör:
- Logga in i WordPress.
- Gå till Verktyg och sedan Webbplatsens hälsa.
- Klicka på fliken Info och öppna Server.
- Där står din PHP-version, till exempel 8.3.36.
Är siffran lägre än versionerna i listan ovan behöver du uppdatera servern. På de flesta webbhotell är det webbhotellet som uppdaterar PHP. Kontakta därför ditt webbhotell och fråga när uppdateringen är gjord, eller byt version själv i webbhotellets kontrollpanel om det går.
Så förbättrar du säkerhet i WordPress nu
- Kontrollera PHP-versionen enligt stegen ovan.
- Kontakta ditt webbhotell om de inte har uppdaterat versionen, och be dem göra det direkt.
- Uppdatera WordPress, tillägg och tema samtidigt. En gammal sajt med föråldrade tillägg har ofta fler svagheter än den här.
- Håll koll efteråt. NCSC påpekar att angripare kan ha tagit sig in innan uppdateringen. Kontrollera att det inte finns okända administratörer, nya filer eller konstiga omdirigeringar på sajten.
- Se till att det finns backup. Utan en färsk säkerhetskopia blir det mycket svårare att återställa sajten om något händer.
Driver du en webbutik?
För en webbutik i WooCommerce eller en annan PHP-baserad plattform är riskerna extra stora. Där finns kunduppgifter, ordrar och betalflöden som en angripare kan komma åt. Går butiken ner förlorar du dessutom försäljning varje timme. Uppdatera både servern, butiksplattformen och alla tillägg för betalning och frakt. Läs mer om hur vi bygger och sköter e-handel.
Har ni egna system, integrationer eller kundportaler som bygger på PHP gäller samma sak där. Många glömmer bort dem, eftersom de inte märks utåt. Behöver ni hjälp att gå igenom dem arbetar vi även med systemutveckling och integrationer.
Därför är underhåll viktigt för säkerhet i WordPress
En hemsida är aldrig helt klar när den lanseras, och säkerhet i WordPress kräver löpande arbete. PHP, WordPress, tillägg och teman får nya säkerhetsuppdateringar flera gånger om året, och varje gång en sajt släpar efter ökar risken att den blir hackad.
Konsekvenserna är ofta större än man tror. En hackad hemsida kan sprida skadlig kod till besökare, varnas för i webbläsaren och svartlistas av Google. Då försvinner sajten snabbt från sökresultaten, och det kan ta lång tid att bygga upp den synlighet som sökmotoroptimering har gett. Ett SSL-certifikat och starka lösenord är en bra grund, men räcker inte om servern och programvaran är föråldrade.
Därför ingår uppdateringar och övervakning när vi bygger och sköter hemsidor åt våra kunder. Läs mer om hur vi arbetar med webbproduktion och WordPress.
Har du webbhotell eller underhåll hos oss kan du vara lugn. Alla våra kunders sajter är redan uppdaterade, och du behöver inte göra något.
Osäker på om din sajt är skyddad?
Har du din hemsida någon annanstans och vet inte vilken PHP-version den kör, eller om ditt webbhotell har uppdaterat? Kontakta oss, så kontrollerar vi din sajt kostnadsfritt och berättar vad som behöver göras.
