Sårbarhet i PHP 2026: Er nettsiden din i trygge hender?
En kritisk sårbarhet i PHP rammet nettsider verden over i oktober 2026. Slik var kundene våre beskyttet, og dette bør du spørre leverandøren om.
Eirik B. Fjellestad · 4 min lesing
I denne artikkelen (8)
Den 21. oktober 2026 kom rettelsen for PHP2Shell, en kritisk sårbarhet i PHP. PHP er programvaren de aller fleste WordPress-sider kjører på. I verste fall kunne en angriper ta kontroll over serveren med én forespørsel, uten å logge inn. Kundene våre med aktiv eller premium driftsavtale trengte ikke gjøre noe. Her forklarer vi hvorfor, og hva saken sier om verdien av å ha nettsiden i trygge hender.
Hva skjedde?
PHP2Shell er navnet på to sårbarheter i selve PHP: CVE-2026-109618 og CVE-2026-109619. Begge fikk alvorlighetsgrad 9,2 av 10. Ifølge PHP-prosjektet gjaldt de alle PHP-oppsett som serverer nettsider.
Feilen lå ikke i WordPress eller i en utvidelse, men i motoren under. Det hjalp derfor ikke å oppdatere WordPress. Det var PHP på serveren som måtte oppdateres, og det er en jobb for den som drifter serveren.
Detaljene lakk før rettelsen var ute, og Cloudflare så angrepstrafikk samme dag. Derfor gjaldt det å få beskyttelse på plass raskt.
En dag som denne viser hvor nettsiden din står
For en bedrift med nettside kan en slik dag se helt ulik ut. Det avhenger av hvor siden ligger og hvem som følger med.
På et billig webhotell er du prisgitt leverandøren. Ofte vet du ikke hvilken PHP-versjon siden kjører, eller om noen har oppdatert den. Kanskje får du aldri vite at siden var utsatt.
Hos oss håndteres slike saker uten at kunden må løfte en finger. Kundene fikk en kort beskjed samme kveld: siden er beskyttet, og dere trenger ikke gjøre noe.
Kinsta: når serveren er en del av sikkerheten
Alle kundene våre med aktiv eller premium driftsavtale har nettsiden på Kinsta. I 2026 ble Kinsta rangert som nummer én av 1 461 produkter i kategorien webhosting i G2s Best Software Awards, basert på verifiserte brukeranmeldelser. Saken viste hvorfor vi har valgt dem:
- PHP styres på plattformnivå. Rettelser rulles ut til alle sider så snart de er testet. Ingen må logge inn og oppdatere hver side for hånd.
- Beskyttelse før rettelsen var på plass. Kinsta stoppet angrepene med egne regler i Cloudflare og endret konfigurasjonen på alle sider samme dag, ifølge statussiden deres.
- Hver side har sitt eget isolerte miljø. Et problem på én nettside sprer seg ikke til andre.
- Sikkerhet i bedriftsklasse. Brannmur og DDoS-beskyttelse via Cloudflare er inkludert, og plattformen er sertifisert etter SOC 2 Type II og ISO 27001, ifølge Kinsta.
- Folk på vakt hele døgnet. Kinsta har menneskelig support 24/7.
Da vi sjekket samme kveld, kjørte alle de elleve nettsidene med aktiv driftsavtale allerede den rettede versjonen av PHP.
Det du egentlig betaler for
En driftsavtale er ikke bare en server. Det er noen som vet hvor nettsiden din ligger, hvilken versjon den kjører og hva som må gjøres når noe skjer.
Den dagen PHP2Shell kom, kontrollerte vi at beskyttelsen var på plass på kundesidene og fulgte med til oppdateringen var rullet ut. Det er en usynlig jobb når den gjøres riktig. Poenget er ikke at ingenting skjer, men at noen tar seg av det når det skjer.
Med aktiv driftsavtale vedlikeholder vi nettsiden og følger sikkerheten løpende. Med premium får du i tillegg en fast månedlig oppfølgingssamtale og timer til småendringer.
Det billigste kan bli det dyreste
Et webhotell til noen hundrelapper i året holder så lenge ingenting skjer. En hacket nettside koster mer: nedetid, opprydding og tapt tillit. Sikkerhet er vanskelig å se verdien av før den dagen du trenger den.
Sårbarhet i PHP: sjekk dette hvis nettsiden ligger et annet sted
En sårbarhet i PHP gjelder alle nettsider på PHP, uansett hvor de driftes. Spør hostingleverandøren eller den som drifter siden:
- Hvilken PHP-versjon kjører siden? Den bør være minst 8.5.12, 8.4.27, 8.3.36 eller 8.2.35.
- Er PHP startet på nytt etter oppdateringen? Uten omstart kan den gamle koden fortsatt kjøre.
- Kjører siden 8.1 eller eldre? Da finnes det ingen offisiell rettelse, og siden bør oppgraderes.
- Hvem følger med for deg? Får du ikke et klart svar, er det et svar i seg selv.
Du finner PHP-versjonen under Verktøy → Helse for nettsted → Info → Server i WordPress. Les også rådene våre om WordPress-sikkerhet.
Ofte stilte spørsmål
Må jeg oppdatere WordPress for å være trygg mot PHP2Shell?
Nei. Feilen ligger i PHP på serveren, ikke i WordPress eller utvidelsene. Det er den som drifter serveren, som må oppdatere PHP.
Hvilke PHP-versjoner er rettet?
PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, sluppet 21. oktober 2026.
Må kunder av Nettsmed gjøre noe?
Nei. Vi har fulgt opp saken og følger med til alle sider er oppdatert.
Hva er forskjellen på et webhotell og administrert hosting?
På et webhotell deler mange nettsider på samme server, og du har ansvaret for det meste selv. Administrert hosting som Kinsta tar seg av serveren, sikkerheten og oppdateringene for deg.
Svaret genereres fra denne siden og er ikke lest av oss først.
Vil du ha nettsiden i trygge hender?
Vet du ikke hvor nettsiden din ligger, eller hvem som passer på den? Send oss en melding, så tar vi en uforpliktende titt og forteller hva vi ville gjort.
Skal vi ta en uforpliktende prat?
Fortell oss hvor virksomheten din skal, så viser vi deg hvordan nettsiden kan ta deg dit. Du får ærlige råd, uansett om du blir kunde eller ikke.
