# Vad är PHP? Programspråket förklarat

> Vad är PHP? Så skapar skriptspråket webbsidor på servern, var det körs i företaget och varför dess version har betydelse för säkerheten.

Källa: https://phpsos.de/sv/php/was-ist-php/  
Aktualitet: 2026-10-25  
Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6

**Kort sagt:** PHP är ett skriptspråk med öppen källkod som framför allt används för webbapplikationer. Koden körs på servern, skapar HTML där och skickar bara resultatet till webbläsaren. Eftersom många CMS, webbutiker och interna verktyg bygger på PHP är PHP-versionen på servern en egen säkerhetsfaktor, oberoende av CMS-uppdateringen.

## Vad är PHP? En definition i enkla ord

PHP-manualen beskriver PHP som ett utbrett skriptspråk med öppen källkod för allmänt bruk, som lämpar sig särskilt väl för webbutveckling och kan bäddas in i HTML. Namnet är en rekursiv akronym, alltså en förkortning som innehåller sig själv: ”PHP: Hypertext Preprocessor”.

Den avgörande skillnaden mot JavaScript i webbläsaren: PHP-kod körs på servern. Besökaren får bara det färdiga resultatet och ser inte källkoden. Därför lämpar sig PHP för allt som måste förbli konfidentiellt, till exempel databasåtkomst, inloggningar eller prisberäkningar.

Enligt manualen har PHP två huvudsakliga användningsområden: serverskript för webbplatser och skript på kommandoraden, till exempel återkommande uppgifter via cron. Båda finns i nästan varje företag som driver en egen webbplats, en webbutik eller en kundportal.

## Var finns PHP i ert företag?

PHP syns sällan direkt. Det ligger i programvara som ni känner under andra namn. Typiska exempel:

- **Content management-system** som WordPress, TYPO3, Joomla, Drupal eller Contao
- **Butikssystem** som Shopware, WooCommerce, Magento eller PrestaShop
- **Interna tjänster** som Nextcloud, Moodle, MediaWiki eller Matomo
- **Egenutvecklade lösningar** baserade på ramverk som Laravel eller Symfony
- **Webbgränssnitt** i enheter och hostingpaneler

Alla dessa applikationer behöver en installerad PHP-körmiljö, alltså det program som kör PHP-koden. Körmiljön är en egen programvara med egna uppdateringar. En uppdatering av WordPress eller Shopware uppdaterar inte PHP. Vem som driver vilka system hör därför hemma i en inventering, som beskrivs i artikeln [Inventering av alla webbplatser och servrar](https://phpsos.de/sv/blog/inventar-websites-server/).

## Hur ser PHP-kod ut?

PHP-kod står mellan markeringarna `<?php` och `?>`. Allt utanför skrivs ut oförändrat som HTML. Ett litet, ofarligt exempel:

```php
<?php
$stunde = (int) date('G');
$gruss  = $stunde < 12 ? 'Guten Morgen' : 'Guten Tag';
?>
<!DOCTYPE html>
<html lang="de">
  <body>
    <p><?= htmlspecialchars($gruss) ?>, heute ist der <?= date('d.m.Y') ?>.</p>
  </body>
</html>
```

Servern kör PHP-delen och skickar bara färdig HTML till webbläsaren, till exempel ”Guten Tag, heute ist der 25.10.2026”. Funktionen `htmlspecialchars()` omvandlar specialtecken och skyddar på så vis mot insmugglad HTML. Sådana inbyggda skyddsfunktioner är en anledning till att välskriven PHP-kod kan vara säker.

## Vilka delar består en PHP-miljö av?

En PHP-webbplats består inte bara av applikationens kod. Flera lager samverkar, och varje lager behöver eget underhåll:

| Del | Uppgift | Vem uppdaterar vanligtvis? |
|---|---|---|
| Webbserver (Apache, Nginx, LiteSpeed) | tar emot förfrågningar från nätet | webbhotellet eller serveradministratören |
| PHP-körmiljö (tolk) | kör PHP-koden | webbhotellet, serveradministratören, paketkällan |
| Tillägg | databasdrivrutiner, bildbehandling, kryptering | tillsammans med PHP-körmiljön |
| Konfiguration (`php.ini`) | gränser, felutskrift, sessioner | serveradministratören |
| Applikation (CMS, butik) | innehåll och affärslogik | byrån eller det egna teamet |
| Plugin och bibliotek | tilläggsfunktioner | byrån eller det egna teamet |

Förbindelsen mellan webbserver och PHP kallas SAPI (Server Application Programming Interface). Om PHP körs som Apache-modul, via PHP-FPM eller som CGI får konsekvenser för drift och säkerhet. Mer om detta finns under [SAPI förklarat](https://phpsos.de/sv/php/sapi-erklaert/) och i artikeln [Så skapar PHP en webbsida](https://phpsos.de/sv/php/wie-php-funktioniert/).

## Varför PHP-versionen har betydelse för säkerheten

Varje PHP-version underhålls bara under begränsad tid. Enligt php.net får varje versionsgren två års aktivt stöd och därefter ytterligare två år med enbart säkerhetsrättningar. Efter det har grenen nått slutet av sin livslängd och får inga officiella uppdateringar längre. Detaljerna finns under [PHP-versioner och releasecykel](https://phpsos.de/sv/php/release-zyklus/).

PHP2Shell visar hur viktigt det är. I oktober 2026 blev två kritiska sårbarheter i själva PHP kända, CVE-2026-109618 och CVE-2026-109619, båda med CVSS v4.0 9,2. De möjliggör körning av skadlig kod på distans utan inloggning. De är åtgärdade i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. För PHP 8.1 och äldre finns inga officiella uppdateringar längre.

För beslutsfattare ger detta tre slutsatser:

1. En CMS-uppdatering täpper inte till någon sårbarhet i PHP. Båda måste uppdateras var för sig.
2. Efter en PHP-uppdatering måste alla PHP-processer startas om, annars fortsätter den gamla koden att köras i minnet.
3. En patch bevisar inte att inget har hänt tidigare. För oskyddade servrar hör en kontroll av spår till.

> **Viktigt:**
> Klarlägg skriftligen vem hos er som ansvarar för PHP-körmiljön: webbhotellet, byrån eller den egna IT-avdelningen. Vid PHP2Shell visade det sig att den här frågan var obesvarad i många företag.

Vad sårbarheten egentligen innebär och vilka den berör förklaras på sidan [Vad är PHP2Shell?](https://phpsos.de/sv/php2shell/was-ist-php2shell/).

## Hur hjälper PHP SOS konkret?

- **Kartlägga beståndet:** Vi tar reda på vilka av era system som använder PHP, i vilken version och i vilket driftläge.
- **Klarlägga ansvar:** Vi visar vilka delar som ert webbhotell underhåller och vilka som ligger hos er eller er byrå.
- **Uppdatera:** Via [PHP-patchtjänsten](https://phpsos.de/sv/leistungen/php-patch-service/) installerar vi uppdateringar, startar om alla processer och dokumenterar läget.
- **Kontrollera i efterhand:** Där en server har varit oskyddat nåbar granskar vi om det finns spår efter ett intrång.


## Vanliga frågor

**Är PHP ett programspråk eller bara ett skriptspråk?**  
Båda stämmer. PHP är ett fullvärdigt programspråk för allmänt bruk med funktioner, klasser och typer. Det kallas skriptspråk eftersom källkoden inte översätts i förväg till en körbar fil utan bearbetas vid körning av PHP-tolken.

**Ser besökarna på min webbplats PHP-koden?**  
Nej. PHP körs på servern och webbläsaren får bara resultatet, oftast HTML. Undantag uppstår genom felkonfiguration, till exempel om webbservern levererar PHP-filer som text eller om säkerhetskopior som index.php.bak ligger öppet tillgängliga.

**Hur ser jag om min webbplats körs med PHP?**  
De flesta vanliga CMS och butikssystem som WordPress, TYPO3, Shopware, Joomla eller Nextcloud är skrivna i PHP. Säkert besked får ni via webbhotellet, byrån eller genom en titt i serverkonfigurationen.

**Måste jag som vd förstå PHP?**  
Inte i detalj. Det viktiga är att veta att PHP är en egen programvara med egna uppdateringar, skild från CMS:et. Vem som ansvarar för PHP-versionen på era servrar bör vara klarlagt skriftligen.

## Källor

- [PHP-manualen: introduktion](https://www.php.net/manual/en/introduction.php)
- [PHP-manualen: PHP:s historia](https://www.php.net/manual/en/history.php.php)
- [php.net: versioner som stöds](https://www.php.net/supported-versions.php)