Kort sagt: En stor del av de utbredda content management-systemen (CMS) och butikssystemen är skriven i PHP, bland annat WordPress med WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento respektive Adobe Commerce och PrestaShop. Dessutom finns interna applikationer som Nextcloud, Moodle, MediaWiki och Matomo. Den som driver något av dessa system berörs av sårbarheter i PHP-tolken som PHP2Shell, oavsett hur aktuellt själva CMS:et är.
Varför så många webbplatser körs på PHP
PHP har sedan 1990-talet varit skräddarsytt för webbservrar och finns hos praktiskt taget varje webbhotell. Ett CMS på PHP-bas kan därför drivas utan egen serverinfrastruktur, vilket var och är attraktivt framför allt för små och medelstora företag, föreningar och myndigheter.
För driftansvariga betyder det: Webbplatsen är inte bara ”WordPress” eller ”Shopware” utan en stapel av flera lager. Längst ned körs operativsystemet, ovanpå det webbservern, sedan PHP-tolken och högst upp CMS:et med tillägg. Varje lager behöver egna uppdateringar. En sårbarhet i PHP drabbar alla system som bygger på den.
Dessutom tillkommer tillägg: Plugin, teman, moduler och butiksgränssnitt är också PHP-kod, ofta från små leverantörer. De körs med samma rättigheter som CMS:et och exekveras av samma PHP-körmiljö. Ett CMS med många tillägg har därför en större angreppsyta än en slimmad installation, även om kärnan är aktuell.
Siffror om utbredningen av enskilda system utelämnar vi här. Det finns ingen källa för dem som vi bedömer som tillförlitlig och jämförbar.
Utbredda CMS och butikssystem på PHP-bas
Tabellen nämner kända system och vad tillverkarna själva säger om sin tekniska bas. Versionskrav anger vi medvetet inte, eftersom de ändras med varje release.
| System | Typ | Anmärkning om den tekniska basen |
|---|---|---|
| WordPress, WooCommerce | CMS, butikstillägg | PHP-applikation, MySQL eller MariaDB enligt kraven |
| TYPO3 | CMS | kräver enligt dokumentationen webbserver, PHP och SQL-databas |
| Joomla | CMS | PHP med MySQL, MariaDB eller PostgreSQL |
| Drupal | CMS | PHP; kärnans tillägg i core/composer.json |
| Contao | CMS | enligt tillverkaren byggt på Symfony Full-Stack-ramverket |
| Craft CMS | CMS | tillverkaren nämner Yii bland de verktyg som används |
| Shopware 6 | butik | utvecklardokumentationen behandlar plugin som Symfony-bundles |
| Magento Open Source, Adobe Commerce | butik | PHP och Composer i systemkraven |
| PrestaShop | butik | PHP med egen kompatibilitetstabell |
| Nextcloud | filhantering | Apache med mod_php eller PHP-FPM, Nginx med PHP-FPM |
| Moodle | lärplattform | enligt dokumentationen utvecklat i PHP |
| MediaWiki, Matomo | wiki, statistik | PHP enligt installationskraven |
Många av dessa system använder internt byggstenar från PHP-ramverk och laddar bibliotek via Composer. För de flesta har vi egna sidor med tips om säkring, till exempel WordPress, Shopware 6 och TYPO3.
Hur tar jag reda på om min webbplats körs på PHP?
Många företag vet inte exakt vilka system som körs hos dem, framför allt om en byrå har byggt webbplatsen. De här stegen skapar klarhet:
- Upprätta en inventering: Lista alla domäner, underdomäner och interna webbgränssnitt, även testsystem och gamla kampanjsidor.
- Fråga webbhotellet eller byrån: Vilket system, vilken PHP-version, vilket driftläge (PHP-FPM, mod_php, LiteSpeed)? Be om ett skriftligt svar.
- Titta i hostingpanelen: I Plesk, cPanel och liknande gränssnitt står PHP-versionen per webbplats. Observera att distributionens backports inte ändrar det visade numret.
- Kontrollera på servern: Administratörer ser på processerna och webbserverns konfiguration vilken PHP-körmiljö som faktiskt levererar.
- Glöm inte enheter: NAS-system, routrar och appliances har ofta ett webbgränssnitt som också kan köras på PHP.
# På servern: vilka PHP-processer körs?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Ta systemkraven på allvar
Varje tillverkare publicerar med vilka PHP-versioner dess programvara är testad. Uppgifterna är grunden för all uppdateringsplanering: En PHP-uppdatering till en version som CMS:et ännu inte stöder kan lamslå webbplatsen. Ett CMS som bara körs med en PHP-version utan säkerhetsuppdateringar är en permanent risk.
Kontrollera därför enligt tillverkarens systemkrav för just er version vilka PHP-versioner som kommer i fråga, och jämför det med de åtgärdade PHP-versionerna. För system som bara körs med PHP 8.1 eller äldre finns inga officiella uppdateringar från PHP-projektet längre.
Vad PHP2Shell betyder för CMS- och butiksoperatörer
PHP2Shell består av sårbarheterna CVE-2026-109618 och CVE-2026-109619 i PHP-tolken, båda med CVSS 9,2. De möjliggör körning av skadlig kod utan inloggning. De är åtgärdade i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. En CMS-uppdatering täpper inte till dessa sårbarheter; varför förklarar vår artikel Varför en WordPress-uppdatering inte hjälper mot PHP2Shell.
För butiker väger det särskilt tungt, eftersom där finns kunddata, beställningar och inloggningsuppgifter till betalnings- och fraktjänster. En patch tar dessutom inte bort skadlig programvara som har förts in tidigare och bevisar inte att inget har hänt.
Hur hjälper PHP SOS konkret?
- Vi upprättar en inventering av era PHP-baserade webbplatser och interna applikationer med system, PHP-version och driftläge.
- Vi jämför tillverkarnas krav med de åtgärdade PHP-versionerna och planerar uppdateringen per system.
- Vi installerar PHP-uppdateringarna, startar om alla processer och kontrollerar därefter att CMS och butik fungerar korrekt.
- Vid misstanke om en incident undersöker vi systemet inom ramen för PHP2Shell-akuthjälpen.
Vanliga frågor
Körs WordPress på PHP?
Ja. WordPress är en PHP-applikation och kräver enligt de officiella kraven PHP samt en MySQL- eller MariaDB-databas. Därmed berör sårbarheter i PHP-tolken varje WordPress-installation, oberoende av WordPress egen version.
Hjälper en CMS-uppdatering mot PHP2Shell?
Nej. Sårbarheten ligger i PHP, inte i CMS:et. Enligt drweb.de planerar WordPress.org därför inte heller någon egen uppdatering mot den. Den täpps bara till av en åtgärdad PHP-version och omstart av alla PHP-processer.
Hur tar jag reda på vilken PHP-version min butik kräver?
Ur tillverkarens systemkrav för just er version. Uppgifterna ändras med varje större release, så läs dem direkt hos tillverkaren och ta dem inte från äldre anvisningar.
Berörs även interna applikationer?
Ja, om de körs på PHP. Filhantering som Nextcloud, lärplattformar som Moodle, interna wikier med MediaWiki eller Matomo för statistik är PHP-applikationer. De glöms ofta bort vid inventeringar.
Är en webbplats utan .php i adressen inte PHP?
Inte nödvändigtvis. Moderna system leder alla adresser via en central index.php, så att .php aldrig syns i URL:en. Säkert besked ger bara en titt på servern eller en uppgift från webbhotell eller byrå.