Kort sagt: PHP-sårbarheten enkelt förklarad: PHP är programvaran på webbservern som bygger ihop webbplatser i det ögonblick någon öppnar dem. Vid PHP2Shell städar PHP i vissa undantagsfall inte upp ordentligt, och det kan angripare utnyttja för att utan lösenord köra egna kommandon på servern. Lösningen är en uppdatering av PHP med efterföljande omstart, som i regel ert webbhotell eller er leverantör installerar.
Varför alla just nu talar om PHP
I nyheterna talades det om en ”kritisk säkerhetslucka”, myndigheter tog webbplatser offline, BSI (den tyska federala myndigheten för informationssäkerhet) varnade med nivå orange. För många ägare och medarbetare låter det både hotfullt och obegripligt. Vad är PHP, och varför berör det just det egna företagets webbplats?
Det här inlägget förklarar läget utan fackspråk. Den som vill gå djupare hittar den tekniska bedömningen under Vad är PHP2Shell?.
Vad PHP egentligen gör: en bild från vardagen
Tänk er webbplatsen som en restaurang. Gästen är besökaren, beställningen är sidvisningen. PHP är köket: det tar emot varje beställning, hämtar ingredienserna från lagret, alltså databasen, och dukar upp tallriken, alltså den färdiga sidan.
För att det ska gå fort har köket flera kockar som efter varandra avverkar många beställningar. Fackfolk kallar dem ”workers”. Efter varje beställning ska arbetsplatsen vara helt städad innan nästa kommer.
På PHP körs mycket många kända system: WordPress, Shopware, TYPO3, Joomla, Nextcloud och otaliga egenutvecklingar. Hur PHP fungerar i grunden förklarar inlägget Vad är PHP?.
PHP-sårbarheten enkelt förklarad: vad som går fel i PHP2Shell
PHP2Shell består av två fel. Båda har med städningen att göra, och båda uppträder bara i undantagssituationer.
Det första felet (CVE-2026-109618): Ibland tar platsen slut i köket mitt under tillagningen. Fackfolk säger ”Out of Memory”, minnet är fullt. Då avbryts arbetet medan beställningen bara är halvt förberedd. Vid den efterföljande städningen betraktar PHP av misstag ofärdiga saker som färdiga.
Det andra felet (CVE-2026-109619): Efter en beställning blir något liggande på arbetsplatsen som egentligen redan borde vara bortplockat. Nästa beställning hos samma kock kan komma åt det innan det tas bort.
I båda fallen gäller: den som exakt vet hur man framkallar den här undantagssituationen kan få köket att göra saker som aldrig beställts. I värsta fall tar personen över kontrollen över servern. Något lösenord behöver personen inte för det. Hur en förfrågan bearbetas steg för steg i PHP beskriver inlägget om förfrågans livscykel.
Ni behöver inte förstå tekniken för att agera rätt. Avgörande är en enda fråga till ert webbhotell eller er leverantör: Är PHP på vår server uppdaterat och omstartat, och kan ni bekräfta det skriftligt?
De viktigaste begreppen på en överblick
| Begrepp | Enkelt förklarat |
|---|---|
| PHP | programvara på servern som bygger ihop webbsidor när de öppnas |
| Säkerhetslucka | ett fel som utomstående kan utnyttja |
| CVE-nummer | världsomspännande entydigt identifieringsnummer för en säkerhetslucka |
| CVSS 9,2 | allvarlighetsgrad på en skala upp till 10; 9,2 räknas som kritisk |
| Remote Code Execution | utomstående kan på distans köra egna kommandon på servern |
| Skal (shell) | kommandorad med vilken en server kan styras |
| Patch | uppdatering som åtgärdar felet |
| Backport | rättning som byggs in i en äldre version utan att versionsnumret ändras |
| Omstart | avsluta gamla PHP-processer så att den rättade versionen faktiskt arbetar |
Varför uppdatering, omstart och kontroll hör ihop
Vi stannar vid restaurangen. Uppdateringen är en ny arbetsanvisning för köket: så städas det framöver. Men kockarna som just är på skiftet fortsätter arbeta efter den gamla anvisningen. Först när skiftet byts gäller den nya. Det är precis omstarten: alla gamla PHP-processer avslutas, nya startar med den rättade versionen. Utan omstart ligger uppdateringen visserligen på servern men verkar inte.
Och något mer visar bilden. En ny arbetsanvisning förhindrar framtida missöden men säger ingenting om huruvida någon under dagarna innan obemärkt har varit i köket och gömt något. Därför hör en kontroll av spår till efter uppdateringen, särskilt om servern var nåbar under tiden mellan den 17 oktober och uppdateringen.
Vad ni bör göra nu: tre typiska utgångslägen
Vad som ska göras beror på var er webbplats ligger.
- Er webbplats ligger hos ett webbhotell (delat webbhotell). Webbhotellet installerar PHP-uppdateringen i regel. Er uppgift: skaffa en skriftlig bekräftelse och kontrollera i kundmenyn att en aktuell PHP-version är inställd. Vad som annars är er uppgift står under Delat webbhotell: vad webbhotellet gör och vad ni måste göra.
- En byrå eller en IT-leverantör sköter er webbplats. Fråga där om uppdateringen är installerad och PHP omstartat, och be om en kort kontroll av avvikelser.
- Ni har en egen server. Då är ni själva eller er IT ansvariga: uppdatera PHP, starta om alla PHP-processer, säkra loggar från och med den 20 oktober och kontrollera spår.
I alla tre fallen gäller: en uppdatering av WordPress eller något annat system på webbplatsen stänger inte sårbarheten. Och en uppdatering bevisar inte att inget hände tidigare.
Hur hjälper PHP SOS konkret?
- Förklara begripligt: Vi säger er i klara ord om och hur era system är berörda.
- Tala med webbhotellet: På begäran klargör vi patchnivån direkt med ert webbhotell eller er leverantör.
- Uppdatera och kontrollera: Vid egna servrar installerar vi uppdateringen, startar om PHP och kontrollerar spår.
- Dokumentera skriftligt: Ni får en kort dokumentation av läget.
Mer om det under PHP2Shell-akuthjälp.
Slutsats
PHP2Shell låter komplicerat, men läget är det i grunden inte: köket på er webbplats städar i undantagsfall inte ordentligt, och det går att utnyttja. Uppdateringen reparerar det. Er uppgift är att säkerställa att den är installerad, aktiverad och styrkt, och vid tvivel låta kontrollera om någon var i köket tidigare.
Vanliga frågor
Vad är PHP med enkla ord?
PHP är ett programmeringsspråk som arbetar på webbservern. När ni öppnar en sida bygger PHP ihop den i det ögonblicket, till exempel med aktuella produkter, priser eller er varukorg, och skickar den till er webbläsare.
Berörs min webbplats om jag använder WordPress?
WordPress körs med PHP, därför kan servern under det vara berörd. Om er webbplats är utsatt beror på PHP-nivån på servern, inte på WordPress-versionen. Fråga ert webbhotell eller er leverantör om PHP-uppdateringen.
Kan jag som besökare på en webbplats vara utsatt?
Sårbarheten gäller servrar, inte besökarnas datorer. Tas en server över kan angripare dock till exempel ändra innehåll eller leda besökare till andra sidor. Därför är uppdateringen viktig för driftansvariga.
Vad betyder namnet PHP2Shell?
Det beskriver den möjliga följden: via PHP kan en angripare i värsta fall få ett skal, alltså en sorts fjärrstyrning av servern. De officiella beteckningarna är CVE-2026-109618 och CVE-2026-109619.