Sikkerhetshullene i PHP rammer ikke kundene våre

Tirsdag 20. oktober 2026 ble det kjent at PHP har to kritiske sikkerhetshull. PHP er programmeringsspråket bak rundt 70 prosent av verdens nettsider. Hullene har fått navnet PHP2Shell (CVE-2026-109618 og CVE-2026-109619), og gjør det mulig for en angriper å ta kontroll over en nettside uten å logge inn.

Onsdag formiddag sendte Nasjonal sikkerhetsmyndighet (NSM) ut varsel. Siden det ennå ikke fantes noen rettelse, anbefalte NSM at sårbare systemer ble koblet helt fra nettet. PHP slapp sikkerhetsoppdateringer på ettermiddagen, men hver enkelt server må oppdateres av den som drifter den. PHP 8.1 og eldre får ingen offisiell rettelse.

Feilen sitter i selve PHP. Derfor er også godt vedlikeholdte WordPress-sider utsatt, helt til PHP på serveren er oppdatert.

«Dette er omtrent så alvorlig som en sårbarhet i en webteknologi kan bli», sa Olaf Hallan Graven, professor i informatikk ved Universitetet i Sørøst-Norge, til Aftenposten.

Dette er noen av nettsidene og tjenestene som ble stengt i Norge onsdag 21. oktober:

• Feide: midlertidig stengt av Sikt
• Digitaliseringsdirektoratet: tok ned nettsidene sine
• OsloMet: nettsidene ble stengt
• Universitetet i Stavanger: nettsidene ble stengt
• Oslo kommune: stengte for publisering
• NRK: enkelte sider var nede

Utenfor Norge:

• Nederlands parlament: nettsidene gikk av nett
• Nederlands NCSC: stengte sin egen nettside
• Finland og Sverige: offentlige nettsider ble stengt
• Den franske regjeringen: nettstedet info.gouv.fr ble rammet
• Wikipedia: deler av tjenesten var nede

Sikkerhetsmyndigheter i Europa, Australia og Japan har bedt alle som bruker PHP om å oppdatere, eller ta nettsidene ned til de er oppdatert.

Svært mange nettsider i Norge er bygget på ferdige plattformer som WordPress, WooCommerce, Joomla, Drupal, Magento og Mono. Alle disse kjører på PHP, og eiere av slike sider må nå oppdatere i all hast eller ta siden ned til oppdateringen er på plass.

Nettsaga gjør det annerledes. Vi er ett av svært få byråer i Norge som bygger hver nettside fra bunnen av, uten slike plattformer og helt uten PHP. Vi skriver koden selv, og bruker ingen tredjeparts-plugins som må holdes oppdatert. Da er det færre deler som kan angripes, og vi har full kontroll over koden bak hver eneste nettside vi lager.

Det er et bevisst valg, og dager som denne er grunnen til at vi jobber slik.

Vi følger situasjonen tett. Skulle det skje noe som angår deg som kunde, gir vi beskjed med en gang.

Da bør du sjekke den i dag. NSM anbefaler alle systemeiere å installere oppdateringene snarest mulig.

1. Spør webhotellet eller den som drifter nettsiden om PHP på serveren er oppdatert til versjon 8.2.35, 8.3.36, 8.4.27, 8.5.12 eller nyere.
2. Kjører siden PHP 8.1 eller eldre, finnes det ingen offisiell rettelse. Da må serveren oppgraderes til en nyere versjon.
3. Kan ikke siden oppdateres med en gang, bør den tas av nett. Vedlikeholdsmodus i WordPress hjelper ikke, fordi PHP behandler forespørselen før WordPress rekker å sjekke den.

Mistenker du at noen allerede har vært inne, går WordPress hacket? Slik sikrer du nettsiden gjennom hva du gjør videre.

Vil du at vi ser over situasjonen din? Book en demo, så går vi gjennom den sammen med deg, helt uforpliktende.

• NSM: Oppdatert varsel: To kritiske sårbarheter i PHP
• VG: Sikkerhetshull rammer 70 prosent av verdens nettsider
• Aftenposten: Norske nettsider stenges etter sikkerhetshull
• NRK: Nettsider nede etter sikkerhetsalarm
• Sansec: PHP2Shell: Critical PHP RCE