Läget 25 oktober 2026. Uppgifterna kommer från php.net, CERT-SE, CERT-EU och IMY. Källorna finns i slutet.

Den 21 oktober 2026 släppte PHP akuta säkerhetsuppdateringar för två kritiska sårbarheter. Båda har betyget 9,2 av 10, och båda kan enligt CERT-EU utnyttjas på distans utan inloggning. En angripare kan alltså köra egen kod på webbservern bara genom att skicka en förfrågan till sajten.

PHP är programspråket som WordPress bygger på, och många lokala företag har sin hemsida i WordPress på ett webbhotell. Därför den här guiden: så ser du om din hemsida berörs och vad du ska göra.

Vad har hänt?

PHP-projektet varnade den 20 oktober för en kommande säkerhetsuppdatering och släppte den den 21 oktober. Sårbarheterna har numren CVE-2026-109618 och CVE-2026-109619. Den ena gäller hur PHP hanterar en förfrågan som använder för mycket minne, till exempel när ett formulär med en filuppladdning läses in. Den andra gäller uppgifter från en tidigare förfrågan som finns kvar i minnet och kan användas av nästa.

CERT-SE, Sveriges nationella center för IT-incidenter, gick ut med ett blixtmeddelande samma dag, och IMY varnade dagen efter. CERT-EU skriver i sin uppdatering från 23 oktober att teknisk information och exempel på hur sårbarheterna kan utnyttjas redan sprids. Det ökar enligt CERT-EU sannolikheten att de redan utnyttjas. CERT-EU nämner också en tredje sårbarhet, CVE-2026-115560, som bara gäller ovanligt konfigurerade webbapplikationer och som PHP ska rätta i nästa ordinarie version.

Berörs min hemsida?

Det beror på vad sajten är byggd i och var den ligger.

Sajten är byggd iBerörs den?Vem uppdaterar?
WordPress, WooCommerce, Joomla eller Drupal på ett webbhotellJa, om PHP inte är uppdateratOftast webbhotellet, men fråga
WordPress på en egen server eller VPSJa, om PHP inte är uppdateratDu eller den som sköter servern
Wix, Squarespace eller ShopifyPlattformen sköter sina servrarPlattformen. Du kan inte göra det själv
En statisk sajt som inte kör PHPNejIngen åtgärd behövs

Enligt CERT-EU gäller det alla PHP-installationer som svarar på förfrågningar från webben, oavsett om servern kör PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP eller LiteSpeed. Risken är störst med mod_php. Tredjepartsprodukter som innehåller PHP kan också beröras.

Vilken PHP-version är säker?

Enligt php.net är det de här versionerna, eller senare:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

PHP 8.1 och äldre får inga uppdateringar från PHP-projektet. Vissa Linuxdistributioner och leverantörer med långtidssupport har egna rättningar, men kör sajten PHP 7 eller 8.0 är det dags att uppgradera. PHP 8.2 får dessutom sina sista säkerhetsuppdateringar den 31 december 2026, så en sajt på 8.2 bör flyttas till en nyare version inom kort.

Så kollar du din sajt

Mejla webbhotellet

Hej! Vår webbplats [adress] ligger hos er. Har ni installerat PHP:s säkerhetsuppdatering från 21 oktober 2026 (CVE-2026-109618 och CVE-2026-109619) på servern där den ligger? Vilken exakt PHP-version kör den nu? Tack!

Svarar webbhotellet att servern inte är uppdaterad, och de inte kan säga när den blir det, ta det på allvar. CERT-SE rekommenderar att system som inte kan uppdateras isoleras från internet.

Se upp med falska mejl

IMY påminner om att bedragare brukar utnyttja stora säkerhetshändelser. Räkna med mejl, sms och samtal som påstår sig komma från ditt webbhotell, WordPress eller en säkerhetsfirma och ber dig klicka på en länk eller installera en uppdatering. Hämta uppdateringar bara från din leverantör eller från kända källor, och logga in i webbhotellets kontrollpanel själv i stället för via en länk i ett mejl.

Om något redan har hänt

Ser sajten konstig ut, skickar den besökare vidare till andra sidor eller får du varningar från Google om att den är osäker, kontakta webbhotellet eller den som sköter sajten direkt.

Har personuppgifter om kunder kommit på avvägar, till exempel från ett kontaktformulär eller en webbutik, kan det vara en personuppgiftsincident. Enligt dataskyddsförordningen ska den anmälas till IMY inom 72 timmar från att du fick kännedom om den. IMY har ett formulär för anmälan på sin webbplats. Det här är en sammanfattning, inte juridisk rådgivning.

Varför vi skriver om det här

Hemsidan är ofta det första en ny kund ser, och en hackad sajt kan skicka besökare vidare till bedrägerier eller få en varning i Google. De sajter vi bygger är statiska och kör ingen PHP, så just de här sårbarheterna berör inte dem. Men många lokala företag har WordPress, och det är lätt att missa en säkerhetsuppdatering som någon annan ska sköta. Hur en hemsida som inte kräver underhåll av dig kan se ut går vi igenom i Hemsida som skapar kunder.

Vanliga frågor

Vilka hemsidor berörs av PHP-sårbarheterna?

Alla webbplatser där servern kör PHP för att svara på besökare, enligt CERT-EU. Det gäller till exempel WordPress, WooCommerce, Joomla och Drupal. Sajter i tjänster som Wix, Squarespace och Shopify sköts av plattformen, och där kan du inte själv uppdatera PHP. Statiska sajter som inte kör PHP berörs inte.

Vilken PHP-version är säker?

PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35, eller senare, enligt php.net den 21 oktober 2026. PHP 8.1 och äldre får inga uppdateringar från PHP-projektet, så sajter på de versionerna behöver uppgraderas eller få en rättning från sin leverantör.

Hur ser jag vilken PHP-version min WordPress-sida har?

I WordPress-panelen under Verktyg och Webbplatshälsa (Site Health), på fliken Info och avsnittet Server. Där syns ofta bara huvudversionen, till exempel 8.3, så fråga också webbhotellet om säkerhetsuppdateringen från 21 oktober är installerad.

Måste jag göra något själv om jag har ett webbhotell?

Oftast uppdaterar webbhotellet PHP på sina servrar, men du bör fråga och få det bekräftat. Kör sajten en gammal PHP-version som du själv har valt i webbhotellets kontrollpanel, byt till en version som fortfarande får uppdateringar. Uppdatera också WordPress, tillägg och tema.

Vad gör jag om jag tror att sajten redan har blivit hackad?

Kontakta webbhotellet eller den som sköter sajten direkt. Har personuppgifter om kunder kommit på avvägar kan det vara en personuppgiftsincident, som enligt dataskyddsförordningen ska anmälas till IMY inom 72 timmar.

Källor

Alla sidor lästa 25 oktober 2026.