Kort sagt: En stor del af de udbredte content management-systemer (CMS) og shopsystemer er skrevet i PHP, herunder WordPress med WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento hhv. Adobe Commerce og PrestaShop. Hertil kommer interne applikationer som Nextcloud, Moodle, MediaWiki og Matomo. Den, der driver et af disse systemer, er berørt af sårbarheder i PHP-fortolkeren som PHP2Shell, uanset hvor aktuelt selve CMS'et er.
Hvorfor så mange websites kører på PHP
PHP er siden 1990'erne skåret til webservere og tilgængeligt hos praktisk talt enhver webhoster. Et CMS på PHP-basis kan derfor drives uden egen serverinfrastruktur, hvilket især var og er attraktivt for små og mellemstore virksomheder, foreninger og myndigheder.
For driftsansvarlige betyder det: Websitet er ikke blot "WordPress" eller "Shopware", men en stak af flere lag. Nederst kører operativsystemet, derover webserveren, så PHP-fortolkeren og øverst CMS'et med udvidelser. Hvert lag kræver egne opdateringer. En sårbarhed i PHP rammer alle systemer, der bygger på den.
Hertil kommer udvidelser: Plugins, temaer, moduler og shop-grænseflader er ligeledes PHP-kode, ofte fra små udbydere. De kører med de samme rettigheder som CMS'et og udføres af den samme PHP-runtime. Et CMS med mange udvidelser har derfor en større angrebsflade end en slank installation, også selv om kernen er aktuel.
Tal for udbredelsen af enkelte systemer udelader vi her. Der findes ingen kilde hertil, som vi vurderer som pålidelig og sammenlignelig.
Udbredte CMS og shopsystemer på PHP-basis
Tabellen nævner kendte systemer og det, producenterne selv siger om deres tekniske grundlag. Versionskrav nævner vi bevidst ikke, fordi de ændrer sig med hver udgivelse.
| System | Art | Bemærkning om det tekniske grundlag |
|---|---|---|
| WordPress, WooCommerce | CMS, shop-udvidelse | PHP-applikation, MySQL eller MariaDB ifølge kravene |
| TYPO3 | CMS | kræver ifølge dokumentationen webserver, PHP og SQL-database |
| Joomla | CMS | PHP med MySQL, MariaDB eller PostgreSQL |
| Drupal | CMS | PHP; kernens udvidelser i core/composer.json |
| Contao | CMS | ifølge producenten bygget på Symfony Full-Stack-Framework |
| Craft CMS | CMS | producenten nævner Yii blandt de anvendte værktøjer |
| Shopware 6 | shop | udviklerdokumentationen behandler plugins som Symfony-bundles |
| Magento Open Source, Adobe Commerce | shop | PHP og Composer i systemkravene |
| PrestaShop | shop | PHP med egen kompatibilitetstabel |
| Nextcloud | fillager | Apache med mod_php eller PHP-FPM, Nginx med PHP-FPM |
| Moodle | læringsplatform | ifølge dokumentationen udviklet i PHP |
| MediaWiki, Matomo | wiki, statistik | PHP ifølge installationskravene |
Mange af disse systemer bruger internt byggesten fra PHP-frameworks og indlæser biblioteker via Composer. Til de fleste har vi egne sider med henvisninger til sikring, f.eks. WordPress, Shopware 6 og TYPO3.
Hvordan finder jeg ud af, om mit website kører på PHP?
Mange virksomheder ved ikke præcist, hvilke systemer der kører hos dem, især hvis et bureau har bygget websitet. Disse trin skaber klarhed:
- Oprette en oversigt: Opregn alle domæner, subdomæner og interne webgrænseflader, også testsystemer og gamle kampagnesider.
- Spørge hostingudbyder eller bureau: Hvilket system, hvilken PHP-version, hvilken driftsform (PHP-FPM, mod_php, LiteSpeed)? Bed om et skriftligt svar.
- Se i hosting-panelet: I Plesk, cPanel og lignende grænseflader står PHP-versionen pr. website. Vær opmærksom på, at distributionens backports ikke ændrer det viste nummer.
- Kontrollere på serveren: Administratorer ser på processerne og webserverens konfiguration, hvilken PHP-runtime der faktisk leverer.
- Glem ikke enheder: NAS-systemer, routere og appliances har ofte en webgrænseflade, der ligeledes kan køre på PHP.
# På serveren: Hvilke PHP-processer kører?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Tag systemkravene alvorligt
Hver producent offentliggør, med hvilke PHP-versioner dens software er testet. Disse oplysninger er grundlaget for enhver opdateringsplanlægning: En PHP-opdatering til en version, som CMS'et endnu ikke understøtter, kan lægge websitet ned. Et CMS, der kun kører med en PHP-version uden sikkerhedsopdateringer, er en vedvarende risiko.
Kontrollér derfor ifølge producentens systemkrav for jeres nøjagtige version, hvilke PHP-versioner der kommer på tale, og afstem det med de rettede PHP-versioner. For systemer, der kun kører med PHP 8.1 eller ældre, findes der fra PHP-projektet ikke længere officielle opdateringer.
Hvad PHP2Shell betyder for CMS- og shopdrivere
PHP2Shell består af sårbarhederne CVE-2026-109618 og CVE-2026-109619 i PHP-fortolkeren, begge med CVSS 9.2. De tillader udførelse af skadelig kode uden login. De er rettet i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. En CMS-opdatering lukker ikke disse sårbarheder; hvorfor, forklarer vores indlæg Hvorfor en WordPress-opdatering ikke hjælper mod PHP2Shell.
For shops vejer det særligt tungt, fordi der ligger kundedata, ordrer og adgangsdata til betalings- og forsendelsestjenester. En patch fjerner desuden ikke skadelig software, der blev indsmuglet forinden, og beviser ikke, at der ikke er sket noget.
Hvordan hjælper PHP SOS konkret?
- Vi opretter en oversigt over jeres PHP-baserede websites og interne applikationer med system, PHP-version og driftsform.
- Vi afstemmer producentkravene med de rettede PHP-versioner og planlægger opdateringen pr. system.
- Vi indspiller PHP-opdateringerne, genstarter alle processer og kontrollerer derefter, at CMS og shop kører korrekt.
- Ved mistanke om en hændelse undersøger vi systemet som led i PHP2Shell-akuthjælpen.
Ofte stillede spørgsmål
Kører WordPress på PHP?
Ja. WordPress er en PHP-applikation og kræver ifølge de officielle krav PHP samt en MySQL- eller MariaDB-database. Dermed berører sårbarheder i PHP-fortolkeren også enhver WordPress-installation, uafhængigt af WordPress' egen status.
Hjælper en CMS-opdatering mod PHP2Shell?
Nej. Sårbarheden ligger i PHP, ikke i CMS'et. Ifølge drweb.de planlægger WordPress.org derfor heller ingen egen opdatering mod den. Den lukkes kun ved en rettet PHP-version og genstart af alle PHP-processer.
Hvordan finder jeg ud af, hvilken PHP-version min shop kræver?
Af producentens systemkrav til jeres konkrete version. Disse oplysninger ændrer sig med hver større udgivelse, så I bør læse dem direkte hos producenten og ikke overtage dem fra ældre vejledninger.
Er interne applikationer også berørt?
Ja, hvis de kører på PHP. Fillagre som Nextcloud, læringsplatforme som Moodle, interne wikier med MediaWiki eller Matomo til statistik er PHP-applikationer. De glemmes ofte ved opgørelser.
Er et website uden .php i adressen ikke PHP?
Ikke nødvendigvis. Moderne systemer leder alle adresser gennem en central index.php, så .php aldrig dukker op i URL'en. Sikkert er kun et blik på serveren eller en oplysning fra hostingudbyder eller bureau.