Kort sagt: Den Joomla-sårbarhed, som der pt. tales om, hedder PHP2Shell og ligger i serverens PHP, ikke i Joomla. En Joomla-opdatering lukker den ikke. Efter PHP-rettelse og genstart bør I kontrollere configuration.php, template-overrides, udvidelser og listen over Super Users.
Hvad PHP2Shell betyder for Joomla
Joomla er et PHP-CMS og arver enhver svaghed i det underliggende PHP. Sårbarhederne CVE-2026-109618 og CVE-2026-109619 gør det ifølge PHP-teamet muligt at køre skadelig kode uden login. Berørt er de gængse driftsformer PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed.
Netop mindre Joomla-websites hos foreninger, håndværksvirksomheder eller brancheorganisationer kører ofte på shared hosting og bliver sjældent vedligeholdt. Dér ligger PHP-opdateringen hos hostingudbyderen. Jeres opgave er at spørge til status og kontrollere websitet for spor. Hvilke versioner der er berørt, viser Hvilke PHP-versioner er berørt?.
Joomla-sårbarhed: kontrollér PHP-versionen
I administratorområdet viser System > Systeminformation PHP-versionen og de vigtigste PHP-indstillinger. Det er den version, som Joomla faktisk kører med på nettet. Rettede upstream-versioner er 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Viser Joomla et ældre nummer, kan en backport alligevel være indspillet; det skal jeres hostingudbyder bekræfte.
På shared hosting kan PHP-versionen ofte skiftes i hostingudbyderens kundemenu pr. domæne. Det skifter dog kun mellem de versioner, som udbyderen stiller til rådighed; om disse er patchet, afgør udbyderen. Et skifte til en nyere hovedversion kan alligevel være fornuftigt, hvis jeres Joomla-version og alle udvidelser understøtter den. Test det først, for ældre udvidelser bryder ofte sammen med fejlmeddelelser ved nyere PHP-versioner.
Joomla angiver selv minimumskrav til PHP pr. hovedversion. Hvilke PHP-versioner jeres Joomla-version understøtter, kontrollerer I ifølge systemkravene på joomla.org. Ved meget gamle Joomla-versioner kan et PHP-skifte først kræve en Joomla-opgradering.
Typiske skjulesteder for skadelig kode i Joomla
| Sted | Indhold | Hvad man skal se efter |
|---|---|---|
configuration.php |
Databaseadgang, $secret, stier til log og temp |
Ændringsdato, indskudt kode |
images/, media/ |
Billeder og medier | PHP-filer er mistænkelige |
tmp/ |
midlertidige filer, også fra installationer | Rester af fremmede pakker |
templates/<name>/html/ |
Template-overrides med PHP-kode | ukendte eller ændrede overrides |
plugins/system/ |
System-plugins, der indlæses ved hvert kald | ukendte plugins |
administrator/logs/ |
Logfiler | sikres før ændringer |
.htaccess |
Omdirigeringer, rewrite-regler | Videresendelser kun for søgemaskiner |
System-plugins er særligt populære, fordi de køres ved hvert sidekald. Et ukendt plugin i denne mappe bør I altid kunne forklare.
Ufarlige kontroller på kommandolinjen (Joomla 4 og nyere har en egen konsol med):
# PHP-filer i medie- og temp-mapper
find images media tmp -type f -name "*.php"
# List brugere og udvidelser
php cli/joomla.php user:list
php cli/joomla.php extension:list
Omdirigerer jeres Joomla-website besøgende fra Google til fremmede sider, eller viser Google en advarsel, er serveren meget sandsynligt allerede kompromitteret. Så er en opdatering ikke nok, så kræves der en oprydning og derefter en genkontrol i Search Console.
Administratoradgang og udvidelser
Administratorområdet ligger under /administrator. Kontrollér brugergruppen "Super Users" for ukendte konti og for konti tilhørende tidligere tjenesteudbydere. Aktivér den totrinsgodkendelse, som Joomla medbringer, og brug personlige i stedet for delte konti.
Udvidelser fra Joomla Extensions Directory og fra tredjepartsudbydere er talrige på mange websites: formularer, gallerier, sidebyggere, nyhedsbreve. Hver medbringer egen PHP-kode og ofte egne upload-funktioner. Udvidelser, hvis udbyder ikke længere leverer opdateringer, er en vedvarende risiko og besværliggør enhver PHP-opgradering. Afinstallér det ubrugte fuldstændigt.
Hvad en Joomla-opdatering kan, og hvad den ikke kan
En Joomla-opdatering erstatter core-filerne og lukker kendte sårbarheder i Joomla. Den patcher ikke PHP, rører ikke ved template-overrides og tredjepartsudvidelser og fjerner ikke filer, der ikke hører til core. Også databaseposter som nye Super Users forbliver.
Er jeres website allerede blevet ændret, hjælper forløbet under Website hacket? Nødhjælp på afstand. Til søgningen efter bagdøre er vejledningen Opdag og fjern webshells værd at læse.
Er jeres Joomla-website sat op af et bureau eller en freelancer, så spørg dér, hvilke udvidelser og templates der er tilpasset individuelt. Tilpassede filer kan ikke bare sammenlignes med originalpakken og kræver en enkeltvis kontrol.
Hvordan hjælper PHP SOS konkret?
- Vi forespørger PHP-status hos jeres hostingudbyder eller kontrollerer den på jeres server, inklusive genstart.
- Vi sikrer logs, filer og database før enhver ændring.
- Vi sammenligner core med originalpakken og kontrollerer overrides, system-plugins, medie-mapper og Super Users.
- Ved fund renser vi websitet, fornyer adgange og følger fjernelsen af Google-advarsler.
Ofte stillede spørgsmål
Er Joomla berørt af PHP2Shell?
Joomla har ikke selv en ny sårbarhed, men kører på PHP. Er serverens PHP ikke patchet, kan en angriber ifølge PHP-teamet køre kode uden login. En Joomla-opdatering ændrer ikke ved det.
Hvor finder jeg PHP-versionen i Joomla?
I administratorområdet under System > Systeminformation. Dér ser I også PHP-indstillingerne. Om en backport er indspillet, kan I ikke se af nummeret; det skal jeres hostingudbyder bekræfte.
Hvorfor er template-overrides en risiko?
Overrides ligger i template-mappen og indeholder PHP-kode, der erstatter outputtet fra komponenter og moduler. Indsmuglet kode opdages næsten ikke dér, fordi overrides ikke erstattes ved Joomla-opdateringer.