9,2 av 10 i allvarlighet
CVE-2026-109618 och CVE-2026-109619. En angripare kan köra egen kod på servern utan att logga in.
Säkerhet · uppdaterad 21 oktober 2026
Kör er hemsida PHP? Se om den får säkerhetsfixen
Den 21 oktober publicerades två allvarliga fel i PHP, språket som WordPress och de flesta webbhotell bygger på. Felen låter en angripare köra egen kod på servern utan att logga in. Skriv in er adress så ser ni på några sekunder vad sajten visar utåt.
Exempel
Resultat för exempelverkstad.se
PHP 7.4.33 får ingen säkerhetsfix
Versionen är för gammal för fixen. Sajten behöver uppgraderas till PHP 8.2 eller nyare.
Vad som har hänt
Uppgifterna kommer från PHP-projektet och nyhetsrapporteringen samma dag. Källor: The Register, NBC News, CNBC.
Fixen finns i 8.2–8.5
PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35 har fixen. PHP 8.1 och äldre får ingen fix och måste uppgraderas.
Myndigheter stänger sajter
FBI rekommenderar att sajter som inte kan uppdateras direkt tas offline. Attacker pågår redan enligt Cloudflare.
Berör det er?
Alla sajter som körs på PHP. Är sajten byggd i Wix, Squarespace eller Shopify ansvarar leverantören för PHP-versionen, och då behöver ni inte göra något.
WordPress och WooCommerce
Körs alltid på PHP. Det gäller även sajten en byrå byggde för fem år sedan och som ingen loggat in på sedan dess.
Joomla, Drupal och Magento
Också PHP. Att uppdatera själva systemet räcker inte, eftersom felet sitter i PHP under det.
Egna system
Bokningssystem, kundportaler och skräddarsydda sajter från 2010-talet är ofta skrivna i PHP utan att det står någonstans.
Tre lägen, ett fast pris för vart och ett
Vi börjar med att kolla vilken PHP-version sajten kör. Sedan får ni ett fast pris för det läge den är i, och ni äger sajten och alla inloggningar efteråt.
Läge 1
Uppdatering
Sajten kör PHP 8.2 eller nyare. Vi tar backup, installerar versionen med fixen och kontrollerar att sidor, formulär och bokning fungerar efteråt.
Läge 2
Uppgradering
Sajten kör PHP 8.1 eller äldre och får ingen fix. Vi lyfter den till en version som får fixen och lagar teman och tillägg som slutar fungera. Gamla WordPress-tillägg är det som oftast går sönder.
Läge 3
Ny sajt
Kostar uppgraderingen nästan lika mycket som en ny sajt säger vi det. Då bygger vi om den utan PHP, flyttar över innehållet och ni slipper nästa PHP-larm.
Det här undrar de flesta
Hur vet jag om min sajt kör PHP?
Kontrollen högst upp läser det sajten visar utåt. Många servrar döljer versionen, och då ser ni bara att sajten kör PHP. Webbhotellets kontrollpanel visar alltid versionen.
Räcker det att uppdatera WordPress?
Nej. Felet sitter i PHP, som WordPress körs på. En WordPress-uppdatering ändrar inte vilken PHP-version servern har.
Ska jag stänga ner sajten?
FBI rekommenderar det för sajter som inte kan uppdateras direkt. För de flesta småföretag är det bättre att uppdatera i dag. Skicka adressen så säger vi vad som gäller för er sajt.
Fixar inte mitt webbhotell det här själva?
Många webbhotell uppdaterar PHP åt sina kunder. Fråga dem först, det kostar ingenting. Det hjälper inte om sajten är låst till PHP 8.1 eller äldre, eftersom de versionerna inte får någon fix.
Vad kostar det?
Ni får ett fast pris innan vi börjar. Priset beror på vilket av de tre lägena sajten är i. Kontrollen och vår första bedömning kostar ingenting.
Vad gör kontrollen på sidan?
Samma sak som en webbläsare. Den hämtar startsidan en gång och läser vad servern skickar tillbaka. Den testar inte felet och försöker inte ta sig in.