Sikkerhetshullene i PHP rammer ikke kundene våre

Tirsdag 20. oktober ble det kjent at PHP har to kritiske sikkerhetshull. PHP er programmeringsspråket bak rundt 70 prosent av verdens nettsider. Hullene har fått navnet PHP2Shell (CVE-2026-109618 og CVE-2026-109619), og gjør det mulig for en angriper å ta kontroll over en nettside uten å logge inn.

Onsdag formiddag sendte Nasjonal sikkerhetsmyndighet (NSM) ut varsel. Siden det ennå ikke fantes noen rettelse, anbefalte NSM at sårbare systemer ble koblet helt fra nettet. PHP slapp sikkerhetsoppdateringer på ettermiddagen, men hver enkelt server må oppdateres av den som drifter den. PHP 8.1 og eldre får ingen offisiell rettelse.

Feilen sitter i selve PHP. Derfor er også godt vedlikeholdte WordPress-sider utsatt, helt til PHP på serveren er oppdatert.

Dette er noen av nettsidene og tjenestene som ble stengt onsdag:

Sikkerhetsmyndigheter i Europa, Australia og Japan har bedt alle som bruker PHP om å oppdatere, eller ta nettsidene ned til de er oppdatert.

Svært mange nettsider i Norge er bygget på ferdige plattformer som WordPress, WooCommerce, Joomla, Drupal, Magento og Mono. Alle disse kjører på PHP, og eiere av slike sider må nå oppdatere i all hast eller ta siden ned til oppdateringen er på plass.

Nettsaga gjør det annerledes. Vi er ett av svært få byråer i Norge som bygger hver nettside fra bunnen av, uten slike plattformer og helt uten PHP. Vi skriver koden selv, og bruker ingen tredjeparts-plugins som må holdes oppdatert. Da er det færre deler som kan angripes, og vi har full kontroll over koden bak hver eneste side.

Det er et bevisst valg, og dager som denne er grunnen til at vi jobber slik.

Vi følger situasjonen tett. Skulle det skje noe som angår deg som kunde, gir vi beskjed med en gang.

Da bør du sjekke den i dag. NSM anbefaler alle systemeiere å installere oppdateringene snarest mulig.

1. Spør webhotellet eller den som drifter nettsiden om PHP på serveren er oppdatert til versjon 8.2.35, 8.3.36, 8.4.27, 8.5.12 eller nyere.
2. Kjører siden PHP 8.1 eller eldre, finnes det ingen offisiell rettelse. Da må serveren oppgraderes til en nyere versjon.
3. Kan ikke siden oppdateres med en gang, bør den tas av nett. Vedlikeholdsmodus i WordPress hjelper ikke, fordi PHP behandler forespørselen før WordPress rekker å sjekke den.

Vil du at vi ser over situasjonen din? Ta kontakt, så hjelper vi deg helt uforpliktende.

• NSMOppdatert varsel: To kritiske sårbarheter i PHP
• VGSikkerhetshull rammer 70 prosent av verdens nettsider
• AftenpostenNorske nettsider stenges etter sikkerhetshull
• NRKNettsider nede etter sikkerhetsalarm
• SansecPHP2Shell: Critical PHP RCE