Två kritiska säkerhetsbrister i PHP, tekniken bakom bland annat WordPress, kan under vissa förutsättningar ge angripare möjlighet att köra kod på webbservrar utan att logga in. För företag gäller det att ta reda på om de berörs och säkerställa att rätt säkerhetsuppdateringar installeras. Händelsen visar också varför kontroll över leverantörer och underliggande teknik är en viktig del av cybersäkerheten.

Den 20 oktober gick PHP:s säkerhetsteam ut med ett förhandsmeddelande efter att detaljer om sårbarheterna hade läckt ut i förtid. Dagen efter publicerades säkerhetsuppdateringar och tekniska detaljer om två kritiska säkerhetsbrister i PHP. Bristerna, som tillsammans kallas PHP2Shell, berör teknik som används av miljontals webbplatser världen över. Den 23 oktober 2026 tog krisen kring PHP2Shell en ny vändning genom upptäckten av ytterligare en sårbarhet, eskalering av globala cyberattacker samt uppdaterade rekommendationer från internationella myndigheter.

För den som inte arbetar med webbutveckling säger PHP kanske inte särskilt mycket. Men tekniken finns bakom en stor del av de webbplatser och digitala tjänster vi använder varje dag som t.ex. WordPress. Den hanterar exempelvis information som skickas via formulär, hämtar innehåll från databaser och ser till att olika funktioner på en webbplats fungerar.

Det som gör PHP2Shell särskilt allvarligt är att bristerna finns i programvaran som kör PHP-koden. Därför kan även välunderhållna webbplatser med uppdaterade publiceringssystem och tillägg beröras.

När en webbplats blir en väg in

Det är lätt att tänka på en webbplats som något fristående från resten av verksamheten. Men i praktiken är den ofta kopplad till andra system, databaser och tjänster. Om en angripare lyckas utnyttja en säkerhetsbrist som PHP2Shell kan det under vissa förutsättningar bli möjligt att köra skadlig kod på servern utan att först behöva logga in.

En angripen webbplats innebär inte automatiskt att hela företagets IT-miljö är komprometterad. Men otillräcklig separation mellan system och alltför omfattande behörigheter kan göra konsekvenserna betydligt större än de hade behövt bli.

Vilka verksamheter berörs?

Företag som använder PHP för webbplatser eller andra webbaserade tjänster behöver kontrollera sina installationer. Det gäller även när en extern leverantör sköter driften.

Att en installation innehåller bristerna betyder inte att varje angreppsförsök lyckas. Möjligheten att utnyttja dem beror på tekniska förutsättningar, exempelvis hur PHP körs och är konfigurerat. Det är däremot inget skäl att avvakta med säkerhetsuppdateringar.

Vad behöver företag göra?

Säkerhetsuppdateringar finns redan tillgängliga, men problemet löser sig inte av sig självt. Här är tre steg ni bör ta direkt:

1. Inventera era system: Ta reda på om och var ni använder PHP. Kom ihåg att detta inte bara gäller den öppna webbplatsen utan även kundportaler, interna verktyg och integrationer. Prioritera de miljöer som är åtkomliga från internet först.
2. Säkerställ uppdatering på servernivå: Att uppdatera WordPress eller era insticksprogram (plugins) räcker inte – själva PHP-installationen på servern måste uppdateras. Om ni använder en extern leverantör eller ett webbhotell, stäm av med dem omgående om vem som ansvarar för detta och säkerställ att uppdateringarna genomförs omgående. Följ PHP-projektets och leverantörens aktuella anvisningar, inklusive eventuella kompletterande åtgärder.
3. Granska loggar för intrångsförsök: Kontrollera om det finns tecken på att någon redan försökt utnyttja sårbarheten. En säkerhetsuppdatering stänger dörren för framtida angrepp, men reparerar inte skadan om ett intrång redan skett.

På längre sikt handlar det om att ha kontroll över vilka tekniker organisationen använder, hur de underhålls och vem som ansvarar för att hantera nya säkerhetsrisker. Om en berörd miljö inte kan uppdateras omgående behöver IT-ansvarig och leverantören bedöma hur exponeringen kan begränsas i väntan på åtgärd.

Cybersäkerhet börjar med kontroll över den egna IT-miljön

PHP2Shell är varken den första eller sista allvarliga sårbarheten i populär infrastrukturell programvara. Händelsen understryker ett grundläggande faktum i modern IT: en digital tjänst består sällan av en enda komponent, utan av lager på lager av underliggande teknik.

För att bygga ett starkt skydd räcker det inte att fokusera på det som syns på ytan. Företag behöver:

• Ha en komplett kartläggning över vilken teknik verksamheten är beroende av.
• Veta vem som bär ansvaret för underhåll och patchning.
• Implementera begränsade behörigheter och separation mellan system: så att ett intrång i en tjänst får så liten spridning som möjligt.
• Ha en beredskap för incidenter och kunna agera snabbt när nya hot uppdagas.

I slutändan handlar effektiv cybersäkerhet inte bara om att undvika enskilda sårbarheter – utan om att skapa en IT-miljö där en enskild brist inte tillåts utvecklas till en kris för hela verksamheten.

Publicerad 27 oktober 2026.