Kritiske PHP-sårbarheder (CVE-2026-109618/-109619): Er dit WordPress-site beskyttet?

Opdateret 21. oktober 2026 kl. 17:30: PHP har nu udsendt den officielle sikkerhedsrettelse.

Kort fortalt

To kritiske sårbarheder i PHP (CVE-2026-109618 og CVE-2026-109619) kan give en angriber mulighed for at afvikle kode på serveren uden at være logget ind.
PHP har den 21. oktober kl. 16:00 dansk tid udsendt rettelser i versionerne 8.5.12, 8.4.27, 8.3.36 og 8.2.35.
PHP 8.1 og ældre får ingen officiel rettelse fra PHP. Kører dit website på en af dem, bør du opgradere hurtigst muligt.
Simply.com har implementeret beskyttelse mod angrebsvejene på deres servere.

To alvorlige sikkerhedshuller i PHP har skabt stor bekymring blandt hostingudbydere og websiteejere i hele Europa. I Holland har en lang række større websites midlertidigt lukket ned som en sikkerhedsforanstaltning. Nu er den officielle rettelse udsendt. Men hvad betyder sårbarhederne for danske virksomheder, og hvordan sikrer du, at dit WordPress-website er beskyttet?

Hos WPBackup følger vi udviklingen tæt. Vores hostingudbyder, Simply.com, har allerede implementeret beskyttelse mod angrebsvejene, og vi følger op på, at PHP’s officielle rettelse bliver installeret på serverne. Samtidig kører alle vores kunders websites på den nyeste PHP-version, som er omfattet af PHP’s officielle sikkerhedsrettelser.

CVE-2026-109618 og CVE-2026-109619: To kritiske sikkerhedshuller i PHP

Den 20. oktober 2026 lækkede oplysninger om to kritiske sårbarheder i PHP, programmeringssproget bag WordPress og en meget stor del af internettets websites. Lækket skete, før sårbarhederne skulle offentliggøres i et koordineret forløb, og PHP’s sikkerhedsteam udsendte samme aften en advarsel om en kommende sikkerhedsopdatering.

Den 21. oktober kl. 16:00 dansk tid udsendte PHP de officielle rettelser i versionerne 8.5.12, 8.4.27, 8.3.36 og 8.2.35 og opfordrer alle til at opdatere med det samme.

Sårbarhederne er registreret som:

CVE-2026-109618 – remote code execution via hukommelseskorruption, når PHP løber tør for hukommelse (OOM corruption)
CVE-2026-109619 – remote code execution via data, der bliver liggende i hukommelsen efter en forespørgsel (stale global state)

Begge er vurderet til 9,2 ud af 10 på CVSS v4.0-skalaen, hvilket placerer dem i kategorien Critical.

Der er tale om sårbarheder af typen remote code execution (RCE). Det betyder, at en angriber i værste fald kan afvikle sin egen kode på serveren uden at være logget ind. Det er en af de mest alvorlige typer sikkerhedshuller, der findes.

Alle PHP-versioner før 8.5.12, 8.4.27, 8.3.36 og 8.2.35 er berørt. Ifølge PHP gælder det alle installationer, der håndterer webforespørgsler, herunder PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP og LiteSpeed. Risikoen er ifølge PHP størst på servere med Apache og mod_php.

Fordi fejlen ligger i selve PHP, kan den påvirke mange forskellige typer websites, herunder WordPress, WooCommerce og andre PHP-baserede systemer. Det gælder også, selvom selve WordPress-installationen er fuldt opdateret.

Hollandske websites lukker som sikkerhedsforanstaltning

Sårbarhederne har skabt stor opmærksomhed i Holland, hvor en lang række websites er blevet taget midlertidigt offline. Det gælder blandt andet Tweede Kamer (det hollandske parlament), MijnOverheid, DigiD, RIVM (det hollandske sundhedsinstitut), ANWB og Kustwacht. Selv det hollandske nationale cybersikkerhedscenter, NCSC, har lukket sin hjemmeside midlertidigt.

Cloudflare har oplyst, at de så de første angrebsforsøg om morgenen den 21. oktober, inden rettelsen blev udsendt. Sårbarhederne skal derfor tages alvorligt.

En nedlukning kan være en fornuftig sikkerhedsforanstaltning, når risikoen er alvorlig, og det endnu ikke er afklaret, om servermiljøet er tilstrækkeligt beskyttet.

Det betyder dog ikke, at de berørte websites er blevet hacket.

Der er en væsentlig forskel mellem:

Et website, der er blevet kompromitteret af hackere.
Et website, der midlertidigt lukkes for at forebygge et muligt angreb.

Sidstnævnte er et eksempel på forebyggende sikkerhedsarbejde.

Hvorfor er PHP-sikkerhed så vigtig for WordPress?

WordPress består af flere tekniske lag, som hver især har betydning for sikkerheden.

WordPress Core: Selve WordPress-systemet, som løbende modtager funktions- og sikkerhedsopdateringer.

Plugins og temaer: Udvidelser, der tilføjer funktionalitet og design, men som også kan indeholde sikkerhedshuller.

PHP: Det serverbaserede programmeringssprog, der afvikler WordPress.

Webserver og hostingmiljø: Den underliggende infrastruktur, hvor PHP, databaser, filsystemer og øvrige tjenester afvikles.

Adgang og brugerrettigheder: Administratorer, adgangskoder, multifaktorgodkendelse og øvrige mekanismer, der styrer adgangen til websitet.

Selv et WordPress-site med fuldt opdaterede plugins, stærke adgangskoder og sikkerhedshærdning kan være udsat, hvis den underliggende server har en alvorlig sårbarhed.

Det er netop derfor, at WordPress-sikkerhed skal betragtes som en samlet opgave og ikke blot som et spørgsmål om at opdatere plugins.

Sådan håndterer Simply.com sårbarhederne

Hos WPBackup prioriterer vi både sikkerheden i WordPress og sikkerheden i det hostingmiljø, vores kunders websites anvender.

Vi benytter blandt andet webhoteller hos Simply.com, som den 21. oktober 2026 har offentliggjort en officiel driftsmeddelelse om de to PHP-sårbarheder.

I driftsmeddelelsen skriver Simply.com blandt andet:

Vi er opmærksomme på to sikkerhedssårbarheder i PHP, identificeret som CVE-2026-109618 og CVE-2026-109619. Begge sårbarheder er vurderet til 9,2 (Critical) på CVSS v4.0-skalaen.
Vi har afhjulpet sårbarhederne på vores servere. Det betyder, at problemet er håndteret fra vores side, og at du som kunde ikke behøver at foretage dig noget.
Vi opfordrer dog altid vores kunder til at køre PHP-versioner, der vedligeholdes (PHP 8.2+).

Simply.com, driftsmeddelelse 21. oktober 2026 (oversat fra engelsk).

For WPBackups kunder betyder det, at angrebsvejene allerede er blokeret på serverniveau hos Simply.com, og at alle vores kunders websites kører på den nyeste PHP-version, som er omfattet af PHP’s officielle rettelser.

Det er dog vigtigt at skelne mellem en midlertidig beskyttelsesforanstaltning (mitigation) og en permanent sikkerhedsrettelse (patch). En hostingudbyder kan begrænse angrebsvejene, inden den endelige opdatering af PHP er installeret. Den permanente løsning er PHP’s officielle rettelse, som nu er udsendt til de understøttede PHP-versioner.

For WPBackup er det afgørende, at vores hostingpartnere reagerer hurtigt på kritiske sikkerhedstrusler og kommunikerer tydeligt om deres håndtering.

Kører dit website på en PHP-version, der får rettelsen?

Det er det vigtigste spørgsmål lige nu.

PHP udsender kun sikkerhedsrettelser til versioner, der stadig er understøttet. Det er i øjeblikket PHP 8.2 og nyere. De rettede versioner er:

PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Websites på PHP 8.1 eller ældre får ingen officiel rettelse fra PHP. Nogle Linux-distributioner og leverandører tilbyder egne rettelser til ældre versioner, men for langt de fleste websites er den rigtige løsning at skifte til en understøttet PHP-version.

At anvende den nyeste PHP-version er ikke en garanti mod nye sikkerhedshuller. Denne sårbarhed fandtes også i de nyeste versioner. Forskellen er, at understøttede versioner bliver rettet, mens forældede versioner forbliver sårbare.

Det afgørende er derfor:

Om PHP-versionen stadig modtager sikkerhedsopdateringer.
Om hostingudbyderen installerer nødvendige rettelser.
Om der er implementeret midlertidig beskyttelse mod aktuelle trusler.
Om servermiljøet er korrekt konfigureret og løbende vedligeholdt.

Kører dit website på PHP 8.1 eller ældre, bør du opgradere til PHP 8.3 eller 8.4 hurtigst muligt. Vær opmærksom på, at PHP 8.2 kun modtager sikkerhedsrettelser frem til 31. december 2026. Test opgraderingen på en kopi af websitet først, da ældre plugins og temaer kan have problemer med nyere PHP-versioner.

Hvem har ansvaret for sikkerheden?

Ansvaret for et sikkert website er typisk fordelt mellem flere parter.

Hostingudbyderen har normalt ansvaret for sikkerheden i den serverinfrastruktur og de softwarekomponenter, som udbyderen administrerer. Det kan omfatte PHP, webserver, operativsystem og netværksbeskyttelse.

Websiteadministratoren har ansvaret for at vedligeholde WordPress, plugins, temaer, brugerkonti og øvrige indstillinger inden for sit administrationsområde.

Websiteejeren har det overordnede ansvar for at sikre, at virksomhedens website og eventuelle personoplysninger håndteres forsvarligt, herunder at der er klare aftaler med relevante leverandører.

Den konkrete ansvarsfordeling afhænger naturligvis af hostingløsningen og de indgåede aftaler.

Ved et almindeligt administreret webhotel vil hostingudbyderen typisk håndtere sikkerhedsrettelser i det underliggende servermiljø. På en selvadministreret VPS eller dedikeret server ligger ansvaret derimod ofte hos kunden selv, og her skal PHP opdateres manuelt nu. Husk at genstarte PHP-FPM eller webserveren efter opdateringen.

Syv vigtige tiltag, der forbedrer sikkerheden på dit WordPress-website

1. Hold WordPress, plugins og temaer opdateret

Forældet software er en velkendt angrebsvej. Sikkerhedsopdateringer bør installeres hurtigt, og plugins, som ikke længere vedligeholdes, bør vurderes kritisk.

2. Brug en understøttet PHP-version

Kontrollér PHP-versionen under Værktøjer → Webstedssundhed → Info → Server i WordPress.

Viser den 8.1 eller lavere, bør du planlægge en opgradering i samarbejde med din hostingudbyder. Hos de fleste webhoteller, også Simply.com, kan PHP-versionen skiftes i kontrolpanelet.

3. Vælg en hostingudbyder med aktiv sikkerhedsovervågning

En hostingudbyder bør kunne håndtere kritiske sårbarheder hurtigt, implementere sikkerhedsrettelser og informere kunderne om alvorlige hændelser.

Den aktuelle PHP-hændelse illustrerer, hvorfor denne del af sikkerheden er så vigtig.

4. Sørg for regelmæssig backup

En god backupløsning bør omfatte både websitefiler og database.

Backups bør opbevares sikkert og helst også uden for det webhotel, hvor websitet ligger.

Det er desuden vigtigt regelmæssigt at kontrollere, at en backup faktisk kan gendannes.

En backup forhindrer ikke hackerangreb, men kan være afgørende for at genetablere driften efter en sikkerhedshændelse.

5. Beskyt administratoradgangen

Brug unikke, stærke adgangskoder og aktivér multifaktorgodkendelse, hvor det er muligt.

Begræns antallet af administratorer, og fjern brugerkonti, som ikke længere har behov for adgang.

6. Gennemfør regelmæssige sikkerhedstjek

Et sikkerhedstjek kan blandt andet afdække forældede komponenter, en forældet PHP-version, uhensigtsmæssige indstillinger, unødvendige administratorrettigheder og kendte svagheder i WordPress-installationen.

Det kan dog ikke erstatte sikkerhedsarbejdet på serverniveau.

7. Hav en plan, hvis websitet bliver kompromitteret

Hvis et website bliver hacket, er det vigtigt at kunne reagere hurtigt.

Det kan indebære at begrænse adgangen, sikre relevante logs, undersøge angrebsvejen, fjerne skadelig kode og gendanne fra en verificeret ren backup.

Et kompromitteret website bør ikke blot gendannes uden først at undersøge, hvordan angriberen fik adgang.

Kan en firewall eller et sikkerhedsplugin beskytte mod PHP-sårbarheder?

Sikkerhedsplugins og web application firewalls (WAF) kan være nyttige som en del af et samlet sikkerhedsforsvar.

De kan eksempelvis blokere kendte angrebsmønstre, begrænse automatiserede loginforsøg og reducere eksponeringen mod visse typer angreb.

Men de er ikke en garanti mod sårbarheder i PHP eller den underliggende server.

Et WordPress-sikkerhedsplugin kan ikke reparere en fejl i PHP-fortolkeren. Ved disse sårbarheder kan angrebet ske, før WordPress overhovedet er indlæst, særligt på servere med Apache og mod_php.

Derfor bør serveropdateringer, adgangskontrol, overvågning, backups og WordPress-sikkerhed fungere som flere supplerende beskyttelseslag.

Hvad skal du gøre nu?

Hvis din hostingudbyder ikke har bekræftet, at de aktuelle PHP-sårbarheder er håndteret, anbefaler vi følgende:

Kontakt hostingudbyderen, og bed om en konkret status: Er de rettede PHP-versioner installeret, eller er serveren beskyttet på anden vis?
Kontrollér, at du anvender PHP 8.2 eller nyere.
Sørg for en aktuel og verificerbar backup, inden der ændres i PHP-versionen.
Kører du selv serveren (VPS eller dedikeret server), så opdatér til PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 nu, og genstart PHP-FPM eller webserveren.
Overvej midlertidig adgangsbegrænsning, hvis serveren er sårbar og ikke kan opdateres hurtigt.

En almindelig vedligeholdelsesside i WordPress er ikke tilstrækkelig, hvis sikkerhedshullet findes i PHP på serverniveau. Adgangen skal i så fald begrænses på serveren eller hos hostingudbyderen.

WordPress-sikkerhed kræver mere end blot backup

Hos WPBackup arbejder vi med løbende vedligeholdelse, backup og sikkerhed af WordPress-websites.

Vores servicepakker omfatter blandt andet regelmæssige opdateringer af WordPress Core, temaer og plugins samt backup efter den valgte serviceaftale.

Med vores Premium-løsning indgår desuden yderligere sikkerhedshærdning af WordPress.

Vi lægger samtidig vægt på at anvende pålidelige hostingløsninger, hvor sikkerheden i servermiljøet bliver taget alvorligt.

Den aktuelle PHP-hændelse viser, at cybersikkerhed ikke kun handler om at reagere, når et website bliver hacket. Det handler i høj grad om at forebygge problemer, inden de opstår.

Er du i tvivl om, hvilken PHP-version dit website kører på?

Få gennemgået din WordPress-installation med vores WordPress-sikkerhedstjek, eller læs mere om vores servicepakker.

Artiklen er offentliggjort den 21. oktober 2026 og senest opdateret samme dag kl. 17:30, efter at PHP udsendte den officielle sikkerhedsrettelse. Den bygger på PHP’s sikkerhedsmeddelelse, Simply.coms officielle driftsmeddelelse samt oplysninger fra sikkerhedsforskere og hollandske medier.

Kilder og yderligere information