Kort sagt: PHP-sårbarheden forklaret enkelt: PHP er softwaren på webserveren, der sætter websites sammen i det øjeblik, nogen åbner dem. Ved PHP2Shell rydder PHP i bestemte undtagelsestilfælde ikke ordentligt op, og netop det kan angribere udnytte til uden adgangskode at udføre egne kommandoer på serveren. Afhjælpningen er en opdatering af PHP med efterfølgende genstart, som som regel jeres hostingudbyder eller serviceudbyder indspiller.
Hvorfor alle netop taler om PHP
I nyhederne var der tale om en „kritisk sikkerhedssårbarhed“, myndigheder tog websites af nettet, og BSI (det tyske forbundsagentur for informationssikkerhed) advarede med niveau orange. For mange ejere og medarbejdere lyder det truende og samtidig uforståeligt. Hvad er PHP, og hvorfor berører det netop virksomhedens eget website?
Dette indlæg forklarer situationen uden fagsprog. Den, der bagefter vil dykke dybere, finder den tekniske vurdering under Hvad er PHP2Shell?.
Hvad PHP egentlig gør: et billede fra hverdagen
Forestil jer jeres website som en restaurant. Gæsten er den besøgende, bestillingen er sidevisningen. PHP er køkkenet: Det tager imod hver bestilling, henter ingredienserne fra lageret, altså databasen, og anretter tallerkenen, altså den færdige side.
For at det går hurtigt, har køkkenet flere kokke, som efter hinanden afvikler mange bestillinger. Fagfolk kalder dem „workers“. Efter hver bestilling skal arbejdspladsen være ryddet helt op, før den næste kommer.
På PHP kører mange kendte systemer: WordPress, Shopware, TYPO3, Joomla, Nextcloud og utallige egenudviklinger. Hvordan PHP grundlæggende fungerer, forklarer indlægget Hvad er PHP?.
PHP-sårbarheden forklaret enkelt: hvad der går galt ved PHP2Shell
PHP2Shell består af to fejl. Begge har med oprydningen at gøre, og begge optræder kun i undtagelsessituationer.
Den første fejl (CVE-2026-109618): Nogle gange løber køkkenet midt i tilberedningen tør for plads. Fagfolk siger „Out of Memory“, hukommelsen er fuld. Så afbrydes arbejdet, mens bestillingen kun er halvt forberedt. Ved den efterfølgende oprydning anser PHP ved en fejl ufærdige ting for færdige.
Den anden fejl (CVE-2026-109619): Efter en bestilling bliver der noget liggende på arbejdspladsen, som egentlig allerede burde være ryddet væk. Den næste bestilling hos den samme kok kan få adgang til det, før det fjernes.
I begge tilfælde gælder: Den, der ved præcis, hvordan man fremkalder denne undtagelsessituation, kan få køkkenet til at gøre ting, som aldrig blev bestilt. I værste fald overtager vedkommende kontrollen over serveren. En adgangskode behøver vedkommende ikke til det. Hvordan en forespørgsel behandles trin for trin i PHP, beskriver indlægget om forespørgslens livscyklus.
I behøver ikke forstå teknikken for at handle rigtigt. Afgørende er ét enkelt spørgsmål til jeres hostingudbyder eller serviceudbyder: Er PHP på vores server opdateret og genstartet, og kan I bekræfte det skriftligt?
De vigtigste begreber på et øjeblik
| Begreb | Forklaret enkelt |
|---|---|
| PHP | software på serveren, der sætter websider sammen, når de åbnes |
| Sikkerhedssårbarhed | en fejl, som fremmede kan udnytte |
| CVE-nummer | verdensomspændende entydigt identifikationsnummer for en sikkerhedssårbarhed |
| CVSS 9,2 | alvorlighedsgrad på en skala til 10; 9,2 regnes som kritisk |
| Remote Code Execution | fremmede kan udføre egne kommandoer på serveren på afstand |
| Shell | kommandolinje, hvormed en server kan styres |
| Patch | opdatering, der udbedrer fejlen |
| Backport | rettelse, der bygges ind i en ældre version uden at ændre versionsnummeret |
| Genstart | afslutte gamle PHP-processer, så den rettede version faktisk arbejder |
Hvorfor opdatering, genstart og undersøgelse hører sammen
Lad os blive ved restauranten. Opdateringen er en ny arbejdsinstruktion til køkkenet: Sådan ryddes der op fremover. Men de kokke, der er på vagt, arbejder stadig videre efter den gamle instruktion. Først når vagten skifter, gælder den nye. Netop det er genstarten: Alle gamle PHP-processer afsluttes, nye starter med den rettede version. Uden genstart ligger opdateringen godt nok på serveren, men virker ikke.
Og noget mere viser billedet. En ny arbejdsinstruktion forhindrer fremtidige uheld, men siger intet om, hvorvidt nogen i dagene før ubemærket har været i køkkenet og gemt noget. Derfor hører en undersøgelse for spor med efter opdateringen, især hvis serveren var tilgængelig i tiden mellem den 17. oktober og opdateringen.
Hvad I bør gøre nu: tre typiske udgangssituationer
Hvad der skal gøres, afhænger af, hvor jeres website ligger.
- Jeres website ligger hos en hostingudbyder (shared hosting). Hostingudbyderen indspiller som regel PHP-opdateringen. Jeres opgave: indhente en skriftlig bekræftelse og i kundemenuen kontrollere, om en aktuel PHP-version er indstillet. Hvad der ellers er jeres opgave, står under Shared hosting: Hvad hostingudbyderen gør, og hvad I skal gøre.
- Et bureau eller en it-serviceudbyder passer jeres website. Spørg dér, om opdateringen er indspillet, og PHP genstartet, og bed om en kort undersøgelse for påfaldende forhold.
- I har en egen server. Så er I selv eller jeres it ansvarlige: opdatér PHP, genstart alle PHP-processer, sikr logs fra og med den 20. oktober, og undersøg for spor.
I alle tre tilfælde gælder: En opdatering af WordPress eller et andet system på websitet lukker ikke sårbarheden. Og en opdatering beviser ikke, at der intet er sket før.
Hvordan hjælper PHP SOS konkret?
- Forklare forståeligt: Vi fortæller jer i klare ord, om og hvordan jeres systemer er berørt.
- Tale med hostingudbyderen: Efter ønske afklarer vi patchstatus direkte med jeres hostingudbyder eller serviceudbyder.
- Opdatere og undersøge: Ved egne servere indspiller vi opdateringen, genstarter PHP og undersøger for spor.
- Fastholde skriftligt: I får en kort dokumentation af status.
Mere herom under PHP2Shell-akuthjælp.
Konklusion
PHP2Shell lyder kompliceret, situationen er det i kernen ikke: Køkkenet på jeres website rydder i undtagelsestilfælde ikke ordentligt op, og det kan udnyttes. Opdateringen reparerer det. Jeres opgave er at sikre, at den er indspillet, aktiveret og dokumenteret, og i tvivlstilfælde lade nogen undersøge, om nogen var i køkkenet før.
Ofte stillede spørgsmål
Hvad er PHP med enkle ord?
PHP er et programmeringssprog, der arbejder på webserveren. Når I åbner en side, sætter PHP den sammen i det øjeblik, f.eks. med aktuelle produkter, priser eller jeres indkøbskurv, og sender den til jeres browser.
Er mit website berørt, hvis jeg bruger WordPress?
WordPress kører med PHP, så serveren under det kan være berørt. Om jeres website er udsat, afhænger af PHP-status på serveren, ikke af WordPress-versionen. Spørg jeres hostingudbyder eller serviceudbyder om PHP-opdateringen.
Kan jeg som besøgende på et website være udsat?
Sårbarheden berører servere, ikke de besøgendes computere. Overtages en server, kunne angribere dog f.eks. ændre indhold eller omdirigere besøgende til fremmede sider. Derfor er opdateringen vigtig for driftsansvarlige.
Hvad betyder navnet PHP2Shell?
Det beskriver den mulige følge: Via PHP kan en angriber i værste fald få en shell, altså en slags fjernstyring af serveren. De officielle betegnelser er CVE-2026-109618 og CVE-2026-109619.