Bruger din virksomhed WordPress, en webshop eller en webapp med PHP? Så bør du få kontrolleret, om serveren har fået de seneste sikkerhedsrettelser. Her får du overblik over, hvad du skal spørge din hostingudbyder om, og hvordan du får fulgt op sammen med din udvikler.
Oplysningerne er kontrolleret den 22. oktober 2026.
Hvad er der sket med PHP?
Den 21. oktober 2026 udsendte PHP sikkerhedsopdateringer til to kritiske sårbarheder: CVE-2026-109618 og CVE-2026-109619. De kan give en angriber mulighed for at køre kode på en server uden at logge ind. PHP anbefaler derfor, at berørte installationer bliver opdateret med det samme.
Fejlene ligger i PHP selv. Derfor er det relevant at undersøge serveren, selv om hjemmesidens system og plugins er opdateret. Du kan læse den officielle sikkerhedsmeddelelse fra PHP.
Bruger din hjemmeside PHP?
PHP er en del af teknikken bag blandt andet WordPress, WooCommerce og mange specialudviklede webløsninger. Det er serveren, der kører PHP, når den behandler en forespørgsel. Som besøgende ser du normalt kun resultatet i browseren.
Det første skridt er at spørge den, der står for driften, om PHP bruges på din løsning. Bed om den præcise version og en bekræftelse på, at rettelserne er installeret. Oplysningen “vi bruger PHP 8.4” er ikke præcis nok til at afgøre det.
En hjemmeside, der leveres som statiske HTML-filer, behøver ikke PHP for at vise indholdet. Der kan dog stadig være andre funktioner eller installationer på webhotellet, som bruger PHP. Få derfor hostingudbyderen til at afklare, hvad der faktisk er aktivt.
Hvilke PHP-versioner indeholder rettelserne?
PHP har udgivet rettelserne i følgende versioner:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Brug en rettet version eller en nyere sikkerhedsopdatering i en understøttet versionsgren. Nogle leverandører indarbejder rettelser i deres egne pakker uden at følge PHP’s versionsnummer direkte. Her skal leverandøren bekræfte, at begge sårbarheder er rettet.
PHP 8.1 og ældre har ikke almindelig support fra PHP-projektet. Har du en ældre installation, skal du afklare eventuelle leverandørrettelser og få lagt en plan for opgradering. Se også PHP’s oversigt over understøttede versioner.
Hvem skal stå for opdateringen?
På et webhotel vil hostingudbyderen typisk vedligeholde PHP-installationen, mens du eller din udvikler vælger den version, hjemmesiden bruger. På en server, du selv administrerer, ligger opgaven hos den ansvarlige for serverdriften. Den konkrete aftale afgør, hvem der gør hvad.
Få en tydelig bekræftelse på, at opdateringen er gennemført, og at den aktive hjemmeside bruger den rettede installation. Et versionsvalg i kontrolpanelet er ikke i sig selv dokumentation for, hvilke rettelser hostingudbyderen har installeret.
Udviklerens opgave er også at kontrollere, at hjemmesiden fungerer med opdateringen. Det gælder især, hvis et ældre system skal flyttes til en nyere PHP-gren. Aftal, hvem der tester funktionerne, og hvem der håndterer eventuelle fejl.
Hvad skal du teste efter opdateringen?
Tag en aktuel backup af filer og database, og sørg for, at den kan gendannes. Afprøv om muligt opdateringen i et separat testmiljø. Ved en akut sikkerhedsopdatering skal test og udrulning planlægges hurtigt sammen med den ansvarlige for driften.
Gennemgå de funktioner, kunderne og medarbejderne er afhængige af:
- Kan man logge ind og bruge administrationen?
- Bliver kontaktformularer og bookingforespørgsler sendt og modtaget?
- Virker kurv, betaling og ordrebekræftelse i webshoppen?
- Bliver data overført korrekt til de systemer, hjemmesiden er forbundet med?
Bed også udvikleren kontrollere fejl i serverens logs. En forside, der ser rigtig ud, fortæller ikke nødvendigvis, om alle funktioner virker. Hvis noget fejler, skal løsningen findes med den driftsansvarlige, så en sårbar installation ikke blot bliver genåbnet som en permanent løsning.
Send denne besked til din hostingudbyder
Du behøver ikke selv kende serverens opsætning for at komme videre. Du kan begynde med denne besked:
Hej. Vil I bekræfte, om vores hjemmeside og øvrige aktive installationer på webhotellet bruger PHP? Hvilken præcis PHP-version eller leverandørpakke kører de på, og er rettelserne til CVE-2026-109618 og CVE-2026-109619 installeret og aktive? Hvis ikke, hvornår bliver de det, og skal vi eller vores udvikler foretage os noget?
Gem svaret sammen med oplysningerne om, hvem der har ansvaret for driften. Så er det lettere at følge op og reagere næste gang, der kommer en vigtig opdatering.
Er du i tvivl om svaret eller om, hvordan din hjemmeside skal testes, kan du kontakte Brandstoff. Send gerne hjemmesidens adresse og hostingudbyderens besked, så vi har et konkret udgangspunkt for at hjælpe dig videre.
