Kritiske sikkerhedshuller i PHP er lukket på dit webhotel
Udgivet d. 21. oktober 2026
Den 21. oktober 2026 kl. 16 dansk tid udgav PHP en sikkerhedsopdatering, der lukker to kritiske sikkerhedshuller. Hullerne kan give en angriber mulighed for at køre sin egen kode på en webserver uden at logge ind. PHP opfordrer alle til at opdatere med det samme og skriver, at en opdatering er den eneste sikre løsning (PHP's sikkerhedsadvarsel).
Du skal ikke selv installere opdateringen. Dit webhotel bliver leveret fra webservere, der kører med rettelsen. Vi lukkede midlertidigt vores LiteSpeed-webservere, mens vi ventede på en rettelse. De er nu også opdateret, og siden kl. 19.15 den 21. oktober har hjemmesiderne på dem kørt på LiteSpeed igen.
To kritiske sikkerhedshuller i PHP
PHP er det programmeringssprog, der bl.a. får WordPress, WooCommerce og Joomla til at virke. Fejlene (CVE-2026-109618 og CVE-2026-109619) sidder i selve PHP og ikke i hjemmesidens egen kode. Det betyder, at en hjemmeside kan være sårbar, selvom WordPress, temaer og plugins er helt opdaterede.
Begge huller er vurderet til 9,2 på en skala fra 0 til 10 (CVSS), som angiver, hvor alvorligt et sikkerhedshul er. Rettelsen er udgivet til PHP 8.2, 8.3, 8.4 og 8.5, som er de fire versioner, du kan vælge på dit webhotel, og den er installeret på alle fire hos os.
Vi har ingen tegn på, at sikkerhedshullerne er blevet udnyttet mod vores webservere. Et sikkerhedshul betyder heller ikke i sig selv, at din hjemmeside er hacket. Opdateringen lukker hullerne, men den er ikke en undersøgelse af tidligere angreb. Vores scanning af WordPress-sider leder fortsat efter skadelig kode, og har du mistanke om, at din side er blevet misbrugt, kan du følge vores guide til en hacket WordPress-side.
Har du en hjemmeside hos en anden udbyder, så spørg, om PHP er opdateret. Administrerer du selv en server, skal du sørge for opdateringen.
LiteSpeed er åbent igen
Har du et Largesite-webhotel med LiteSpeed, kørte din hjemmeside midlertidigt på vores opdaterede Apache-webservere. Da PHP udgav rettelsen, kunne vi endnu ikke tage den i brug på LiteSpeed-serverne, og vi ville ikke lade din hjemmeside køre videre på en server med et kendt sikkerhedshul.
Nu er PHP også opdateret på LiteSpeed-serverne, og siden kl. 19.15 den 21. oktober har alle hjemmesider kørt på LiteSpeed igen. Du skal ikke selv gøre noget, og LiteSpeed-cachen virker igen.
Har du slået et andet caching-plugin til, mens din hjemmeside kørte på Apache, så slå det fra igen. Flere caching-plugins på én gang kan give konflikter og gøre siden langsommere.
Derfor tilbyder vi kun understøttede PHP-versioner
Rettelsen kom samme dag til PHP 8.2, 8.3, 8.4 og 8.5, fordi det er dem, PHP stadig vedligeholder. PHP har undtagelsesvis også lavet rettelser til de udgåede versioner 7.4, 8.0 og 8.1, men de er stadig udgået, og du kan ikke regne med en rettelse næste gang.
Derfor tilbyder vi kun PHP-versioner, der stadig får sikkerhedsopdateringer, og fjerner en version, når den udgår. En hjemmeside kan godt fungere på en udgået PHP-version uden at være sikker, og den dag et alvorligt hul bliver fundet, er det pludselig kritisk. Kræver din hjemmeside en gammel version, bør koden opdateres, mens der er tid til at teste ændringerne.
PHP 8.2 opgraderes til PHP 8.4 i november 2026
Du behøver ikke skifte PHP-version på grund af de nye sikkerhedshuller. PHP 8.2 får dog kun sikkerhedsopdateringer til og med 31. december 2026, og derfor opgraderer vi i november 2026 webhoteller med PHP 8.2 til PHP 8.4. Det sker i hold, så webhotellerne bliver opgraderet på forskellige dage. Det gælder både, hvis du selv har valgt PHP 8.2, og hvis dit webhotel bruger Brug anbefalet.
Vil du selv bestemme, hvornår det sker, så skift allerede nu. Vælg helst PHP 8.5, som er nyere og et bedre valg, hvis din hjemmeside understøtter den, og prøv PHP 8.4, hvis 8.5 giver problemer. Når du selv skifter, kan du skifte tilbage, hvis noget ikke virker, og løse det i ro og mag i stedet for pludselig at opleve et problem i november.
Du skifter version i netsite.app under Hjemmeside, og et skift kan tage op til 30 minutter om at slå igennem. Kører du WordPress, så hold også WordPress, temaer og plugins opdateret. Da PHP 8.5 blev tilgængelig på dit webhotel, skrev vi mere om, hvad du får ud af at opgradere.