PHP2Shell: vad säkerhetshålet i PHP betyder för ditt företags hemsida

Vad är PHP2Shell?

PHP2Shell är två hål i själva PHP, alltså i motorn som driver hemsidan, inte i WordPress eller i något tillägg. I värsta fall kan en angripare ta över webbservern utan att logga in. Forskarna visade också att det gick att läsa ut känslig information som lösenord och nycklar.

Felen hade funnits i över tio år. Det var med hjälp av AI som forskare kunde visa att de gick att utnyttja i praktiken, och de räknas som några av de allvarligaste som hittats i PHP.

Angreppen började innan uppdateringen fanns. Efter att hålen blev kända steg antalet attackförsök snabbt till miljontals, enligt Cloudflare. Nationellt cybersäkerhetscenter (NCSC) uppmanar alla organisationer som använder PHP att agera skyndsamt.

Berörs min hemsida?

Kör din hemsida WordPress, Joomla, Drupal eller WooCommerce: ja, den berördes. Det gäller oavsett hur välskött hemsidan är, eftersom felet sitter i tekniken under.

• Vanligt webbhotell: det är webbhotellet som ansvarar för att uppdatera PHP på sina servrar. Fråga ditt webbhotell om de har gjort det och när.
• Gammal PHP-version: version 8.1 och äldre får inga vanliga säkerhetsuppdateringar längre, bara en nödlagning. Version 8.2 slutar få säkerhetsuppdateringar 31 december 2026.
• Egen server (VPS): då är det du eller din leverantör som måste uppdatera PHP och starta om servern.
• Hemsidor som inte kör PHP: till exempel färdigbyggda (statiska) hemsidor berörs inte alls. Hålet finns inte där.

Vad du bör göra nu

NCSC rekommenderar tre saker: ta reda på vilka system som använder PHP, installera uppdateringarna och leta efter tecken på intrång. För en vanlig företagshemsida betyder det:

1. Fråga ditt webbhotell om PHP är uppdaterat mot PHP2Shell. Rätt versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35, eller webbhotellets egen lagning.
2. Kolla vilken PHP-version hemsidan kör. I WordPress hittar du det under Verktyg, Webbplatsens hälsa, Info, Server. Ligger den under 8.2: planera ett byte.
3. Leta efter tecken på intrång:
   • okända administratörer bland användarna
   • konstiga sidor när du söker på site:dindomän.se i Google
   • varningar i webbläsaren eller i Google
   • besökare som skickas vidare till andra hemsidor
4. Byt lösenord till WordPress, webbhotellet och FTP om du är osäker. Hålen kunde användas för att läsa ut lösenord.
5. Uppdatera WordPress, tema och tillägg och se till att det finns en färsk säkerhetskopia.

Glöm inte personuppgifterna

Har hemsidan kontaktformulär, kundregister, inloggning eller e-handel finns det personuppgifter där. Om någon har tagit sig in kan det räknas som en personuppgiftsincident enligt GDPR.

• Incidenten ska anmälas till Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål och senast inom 72 timmar från att ni fått kännedom om den, om den kan innebära en risk för de personer det gäller.
• Det är ert företag som är ansvarigt, även om en leverantör sköter tekniken.
• Alla incidenter ska dokumenteras internt, även de som inte behöver anmälas.

IMY förklarar hur det går till på imy.se/pui.

Det långsiktiga: kom bort från lapparna

PHP2Shell är det andra stora hålet i år som drabbar vanliga WordPress-hemsidor. I somras kom WP2Shell, ett hål i WordPress själv som utnyttjades i stor skala inom ett par dygn. Med WordPress är man med i ett ständigt race mellan nya hål och nya uppdateringar.

Det är därför vi på Vision Media har lämnat WordPress. Våra nya hemsidor byggs i Astro och publiceras som färdiga sidor. Ingen PHP körs när någon besöker dem, så PHP2Shell berörde dem inte alls. När hålen blev kända behövde vi inte lappa någonting i vår servermiljö.

Ingen teknik är helt utan risk, men färre rörliga delar ger färre ställen att angripa. I Webbkontroll sköter vi drift, säkerhetskopior och övervakning, och du får en rapport varje månad om hur hemsidan presterar och hur många som tar kontakt via den.

Källor

• NCSC: Kritiska sårbarheter i PHP kräver skyndsam åtgärd
• CERT-SE: Kritiska sårbarheter i PHP
• SVT: Miljontals webbplatser riskerar att drabbas av säkerhetshål
• Dagens PS: Företagare måste uppdatera efter miljontals angreppsförsök
• PHP: säkerhetsrelease 21 oktober 2026
• IMY: Personuppgiftsincidenter
• Wiz Research: PHP2Shell