Kort sagt: PHP er et open source-scriptsprog, der primært bruges til webapplikationer. Koden kører på serveren, genererer HTML dér og sender kun resultatet videre til browseren. Fordi mange CMS-, shop- og interne værktøjer er bygget på PHP, er PHP-versionen på serveren en sikkerhedsfaktor i sig selv, uafhængigt af CMS-opdateringen.
Hvad er PHP? En definition i enkle vendinger
PHP-manualen beskriver PHP som et udbredt, open source-baseret scriptsprog til almindelige formål, som især egner sig til webudvikling og kan indlejres i HTML. Navnet er et rekursivt akronym, altså en forkortelse, der indeholder sig selv: "PHP: Hypertext Preprocessor".
Den afgørende forskel til JavaScript i browseren: PHP-kode udføres på serveren. Den besøgende modtager kun det færdige resultat og ser ikke kildeteksten. Det gør PHP velegnet til alt, der skal forblive fortroligt, f.eks. databaseadgang, logins eller prisberegninger.
Ifølge manualen har PHP to hovedanvendelser: serverside-scripts til websites og scripts på kommandolinjen, f.eks. til regelmæssige opgaver via cron. Begge dele findes i næsten enhver virksomhed, der driver en egen hjemmeside, en webshop eller en kundeportal.
Hvor findes PHP i jeres virksomhed?
PHP er sjældent direkte synligt. Det sidder i software, som I kender under et andet navn. Typiske eksempler:
- Content management-systemer som WordPress, TYPO3, Joomla, Drupal eller Contao
- Shopsystemer som Shopware, WooCommerce, Magento eller PrestaShop
- Interne tjenester som Nextcloud, Moodle, MediaWiki eller Matomo
- Egenudviklede løsninger baseret på frameworks som Laravel eller Symfony
- Webgrænseflader til enheder og hosting-paneler
Alle disse applikationer kræver en installeret PHP-runtime, altså det program, der udfører PHP-koden. Denne runtime er en selvstændig software med egne opdateringer. En opdatering af WordPress eller Shopware opdaterer ikke PHP. Hvem der driver hvilke systemer, hører derfor hjemme i en oversigt, som beskrevet i indlægget Oversigt over alle websites og servere.
Hvordan ser PHP-kode ud?
PHP-kode står mellem markeringerne <?php og ?>. Alt uden for udskrives uændret som HTML. Et lille, harmløst eksempel:
<?php
$stunde = (int) date('G');
$gruss = $stunde < 12 ? 'Guten Morgen' : 'Guten Tag';
?>
<!DOCTYPE html>
<html lang="de">
<body>
<p><?= htmlspecialchars($gruss) ?>, heute ist der <?= date('d.m.Y') ?>.</p>
</body>
</html>
Serveren udfører PHP-delen og sender kun færdig HTML til browseren, f.eks. "Guten Tag, heute ist der 25.10.2026". Funktionen htmlspecialchars() omdanner specialtegn og beskytter dermed mod indsmuglet HTML. Sådanne indbyggede beskyttelsesfunktioner er en af grundene til, at ordentligt skrevet PHP-kode kan være sikker.
Hvilke byggesten består et PHP-miljø af?
Et PHP-website består ikke kun af applikationens kode. Flere lag arbejder sammen, og hvert lag kræver sin egen vedligeholdelse:
| Byggesten | Opgave | Hvem opdaterer typisk? |
|---|---|---|
| Webserver (Apache, Nginx, LiteSpeed) | modtager forespørgsler fra nettet | hostingudbyder eller serveradministrator |
| PHP-runtime (fortolker) | udfører PHP-koden | hostingudbyder, serveradministrator, pakkekilde |
| Udvidelser | databasedrivere, billedbehandling, kryptering | sammen med PHP-runtime |
Konfiguration (php.ini) |
grænser, fejlvisning, sessioner | serveradministrator |
| Applikation (CMS, shop) | indhold og forretningslogik | bureau eller eget team |
| Plugins og biblioteker | ekstra funktioner | bureau eller eget team |
Forbindelsen mellem webserver og PHP kaldes SAPI (Server Application Programming Interface). Om PHP kører som Apache-modul, via PHP-FPM eller som CGI, har konsekvenser for drift og sikkerhed. Mere herom under SAPI forklaret og i indlægget Sådan skaber PHP en webside.
Hvorfor PHP-versionen har betydning for sikkerheden
Hver PHP-version vedligeholdes kun i et begrænset tidsrum. Ifølge php.net får hver versionsgren to års aktiv støtte og derefter to år med udelukkende sikkerhedsrettelser. Derefter er grenen udløbet og modtager ikke længere officielle opdateringer. Enkeltheder findes under PHP-versioner og udgivelsescyklus.
Hvor vigtigt det er, viser PHP2Shell. I oktober 2026 blev to kritiske sårbarheder i selve PHP kendt, CVE-2026-109618 og CVE-2026-109619, begge med CVSS v4.0 9.2. De tillader udførelse af skadelig kode udefra uden login. De er rettet i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. For PHP 8.1 og ældre findes der ikke længere officielle opdateringer.
For beslutningstagere giver det tre pointer:
- En CMS-opdatering lukker ikke en sårbarhed i PHP. Begge dele skal opdateres hver for sig.
- Efter en PHP-opdatering skal alle PHP-processer genstartes, ellers kører den gamle kode videre i hukommelsen.
- En patch beviser ikke, at der ikke er sket noget forinden. Ved ubeskyttede servere hører en undersøgelse for spor med.
Afklar skriftligt, hvem der hos jer er ansvarlig for PHP-runtime: hostingudbyderen, bureauet eller jeres egen IT. Ved PHP2Shell viste det sig, at dette spørgsmål var uafklaret i mange virksomheder.
Hvad sårbarheden præcis er, og hvem den berører, forklarer siden Hvad er PHP2Shell?.
Hvordan hjælper PHP SOS konkret?
- Kortlægge beholdningen: Vi finder ud af, hvilke af jeres systemer der bruger PHP, i hvilken version og driftsform.
- Afklare ansvar: Vi viser, hvilke dele jeres hostingudbyder vedligeholder, og hvilke der ligger hos jer eller jeres bureau.
- Opdatere: Via PHP-patchservicen indspiller vi opdateringer, genstarter alle processer og dokumenterer status.
- Kontrollere bagefter: Hvor en server har været tilgængelig uden beskyttelse, undersøger vi for spor af et indbrud.
Ofte stillede spørgsmål
Er PHP et programmeringssprog eller blot et scriptsprog?
Begge dele er korrekte. PHP er et fuldt udbygget programmeringssprog til almindelige formål med funktioner, klasser og typer. Det kaldes et scriptsprog, fordi kildekoden ikke oversættes til en kørbar fil på forhånd, men behandles af PHP-fortolkeren under kørslen.
Kan besøgende på min hjemmeside se PHP-koden?
Nej. PHP kører på serveren, og browseren modtager kun resultatet, som regel HTML. Undtagelser opstår ved fejlkonfiguration, f.eks. hvis webserveren leverer PHP-filer som ren tekst, eller hvis sikkerhedskopier som index.php.bak ligger offentligt tilgængelige.
Hvordan kan jeg se, om min hjemmeside kører med PHP?
De fleste udbredte CMS- og shopsystemer som WordPress, TYPO3, Shopware, Joomla eller Nextcloud er skrevet i PHP. Det kan afklares sikkert via hostingudbyderen, bureauet eller et kig i serverkonfigurationen.
Skal jeg som direktør forstå PHP?
Ikke i detaljer. Det vigtige er at vide, at PHP er en selvstændig software med egne opdateringer, adskilt fra CMS'et. Hvem der er ansvarlig for PHP-versionen på jeres servere, bør være afklaret skriftligt.