Uppdatera PHP – WordPress och Nextcloud i farozonen

Den 21 oktober 2026 släppte PHP-projektet akuta säkerhetsuppdateringar för två kritiska sårbarheter, som fått namnet PHP2Shell. Bristerna sitter i själva PHP, programspråket som bland annat WordPress, Drupal, Joomla och Nextcloud bygger på.

Både CERT-SE och Nationellt cybersäkerhetscenter (NCSC) uppmanar alla som använder PHP att uppdatera skyndsamt. Det enda fullständiga skyddet är att uppdatera PHP till en rättad version. Men vad innebär det för er hemsida eller er molnlagring, och vad behöver du göra?

Vad är PHP2Shell?

PHP är motorn som kör en stor del av webben. Tänk på det som motorn i en bil: WordPress eller Nextcloud är kaross och inredning, men det är PHP som får allt att röra sig.

De två sårbarheterna har beteckningarna CVE-2026-109618 och CVE-2026-109619 och är båda klassade 9,2 av 10 på allvarlighetsskalan CVSS. Enligt PHP-projektets säkerhetsmeddelande kan de låta en angripare köra egen kod på servern utan att logga in.

Risken bedöms som högst för servrar som kör Apache med mod_php. Där räcker en enda förfrågan för att starta attacken, innan webbplatsens egen kod ens har börjat köra. Övriga vanliga uppsättningar, som PHP-FPM, påverkas också.

Sårbarheterna hittades av forskare på säkerhetsföretaget Wiz, som rapporterade dem till PHP i augusti. Enligt Wiz påverkas varje PHP-version som släppts det senaste decenniet av minst en av bristerna.

Varför är WordPress och Nextcloud i farozonen?

Det som gör PHP2Shell allvarligt är att felet inte sitter i applikationen. Wiz skriver att attacken inte kräver någon bugg i webbplatsens egen kod och har visat att den fungerar mot WordPress, Drupal och Joomla. En helt uppdaterad WordPress-sajt kan alltså vara sårbar om PHP under den är gammal.

För Nextcloud gäller samma sak. Nextclouds utvecklare har bekräftat att PHP-delarna i deras paketerade installation All-in-One påverkas, och har släppt version 14.4.1 med uppdaterad PHP. Kör ni Nextcloud direkt på en egen server är det serverns PHP-paket som behöver uppdateras.

Det är även bra att veta att det inte bara gäller hemsidor. Intranät, kundportaler, webbshoppar och interna verktyg som körs på PHP berörs på samma sätt.

Utnyttjas sårbarheterna redan?

Ja, försöken är redan många. Enligt The Register uppger Cloudflares vd Matthew Prince att nätverket såg tusentals attackförsök redan timmarna innan bristerna blev offentliga den 21 oktober. Två timmar efter offentliggörandet var de hundratusentals, och därefter miljontals.

Att ett försök registreras betyder inte att det lyckas. Enligt The Next Web har myndigheter i bland annat Tyskland, Nederländerna och USA ännu inte sett några bekräftade intrång. Amazon uppger samtidigt att ett första angreppsförsök fångades i en av deras fällor redan den 17 oktober, fyra dagar innan bristerna blev offentliga.

Råden om system som inte kan uppdateras direkt skiljer sig något. Enligt Computer Sweden rekommenderar CERT-EU att sådana sajter stängs ner. CERT-SE råder i stället att de isoleras från internet tills de är uppdaterade.

Uppdatera PHP – vad gör jag om vi kör WordPress eller Nextcloud?

Sköter du inte servern själv är det viktigaste att kontakta den som gör det, oavsett om det är er IT-admin, webbyrå eller ert webbhotell. Be dem bekräfta att PHP är uppdaterat, inte bara WordPress eller Nextcloud.

1. Kontakta er IT- eller webbadmin: Fråga vilka av era webbplatser och system som körs på PHP och när de uppdateras. Gör det i dag, inte vid nästa planerade underhåll.
2. Uppdatera PHP: De rättade versionerna är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Enligt PHP-projektet har Linux-distributionerna fått rättelserna i förväg, så uppdaterade paket finns oftast redan.
3. Ta en backup först: En säkerhetskopia innan uppdateringen gör att ni kan backa om något går fel. Läs gärna om skillnaden mellan snapshot och backup.
4. Isolera det som inte kan uppdateras: PHP 8.1 och äldre får inte längre uppdateringar från PHP-projektet. Stäng av åtkomsten från internet tills systemet är uppgraderat, i linje med CERT-SE:s råd.
5. Leta efter tecken på intrång: Be er admin granska loggar och nyligen ändrade filer. Ett system som varit sårbart kan redan ha utnyttjats, och en uppdatering stänger inte en dörr som redan är öppnad.

Hur kan Straznet hjälpa till?

Open source och egen drift ger kontroll över data, men innebär också ett ansvar för att uppdateringar faktiskt blir gjorda. Det skrev vi mer om i inlägget om digital suveränitet och lokal hosting.

När vi hjälper företag i ett läge som detta arbetar vi i fyra steg: vi kartlägger vilka system som körs på PHP, säkerställer en fungerande backup, uppdaterar kontrollerat och kontrollerar sedan att inget obehörigt har hänt. Bygg bort så många single-point-of-failures som möjligt, så blir nästa akuta uppdatering mindre dramatisk.

Sammanfattning

PHP2Shell är två kritiska sårbarheter i PHP som påverkar WordPress, Nextcloud och de flesta andra PHP-baserade system. Det enda fullständiga skyddet är att uppdatera PHP till en rättad version. Kontakta er IT-admin eller webbadmin redan i dag och be dem bekräfta att uppdateringen är gjord.

Vill ni veta mer eller ha hjälp att se över era system? Kontakta oss på Straznet, så hjälper vi er att ta reda på vad som berörs och hur ni uppdaterar säkert. Vi finns i Kungsbacka och hjälper företag i hela Göteborgsregionen.

Telefon: 0300-30 780
E-post: info@straznet.se