0%

PHP2Shell – kritiske sikkerhedshuller i PHP

To alvorlige sikkerhedshuller i PHP har sat webservere verden over under pres. Det vigtigste spørgsmål er ikke kun, om hjemmesiden er opdateret – det er, hvem der har ansvaret for at holde den sikker, og er din hjemmeside beskyttet?

Spørg dit webhotel i dag: er jeres PHP-installation beskyttet mod CVE-2026-109618 og CVE-2026-109619? Det er to kritiske sikkerhedshuller, samlet kendt som PHP2Shell, offentliggjort den 21. oktober 2026, som under bestemte omstændigheder kan give en angriber mulighed for at udføre kode på serveren uden først at logge ind.

Du kan have den nyeste version af WordPress, opdaterede plugins og et website, der fungerer upåklageligt, og stadig være sårbar, hvis PHP på serveren ikke er sikkerhedsopdateret.

Hvad er PHP, og hvorfor rammer det så bredt?

PHP er programmeringssproget, der kører på webserveren og håndterer formularer, brugerlogin, indhold og kommunikationen med databasen. Det er fundamentet under millioner af hjemmesider, heriblandt WordPress, Drupal, Magento og mange specialudviklede løsninger bygget med for eksempel Laravel.

Når der findes en alvorlig fejl i selve PHP, kan den derfor ramme vidt forskellige hjemmesider på tværs af design, funktioner og kode – fejlen sidder et lag under det hele.

Hvad er PHP2Shell?

PHP2Shell dækker over to sårbarheder i PHP's egen kerne (core-runtime), registreret som CVE-2026-109618 og CVE-2026-109619. Begge har en alvorlighedsscore på 9,2 ud af 10 efter CVSS v4.0 og kan føre til Remote Code Execution (RCE) – fjernudførelse af kode uden forudgående login.

Fejlene handler om PHP's interne hukommelseshåndtering. Løber PHP tør for hukommelse midt i en forespørgsel (CVE-2026-109618), kan interne datastrukturer efterlades i en ugyldig tilstand, og den efterfølgende oprydning kan udløse en udnyttelig hukommelsesfejl. Under bestemte forhold kan PHP også beholde en reference til hukommelse, der allerede er frigivet (CVE-2026-109619) – bruges referencen senere, kan det lække data eller køre fremmed kode.

Det alvorlige er, at angrebet i visse serveropsætninger kan udløses, før hjemmesidens egen PHP-kode overhovedet bliver kørt. En almindelig sikkerhedskontrol i for eksempel WordPress eller Laravel kan derfor ikke forventes at stoppe det.

Hvorfor skabte det så stor uro?

Sårbarhederne blev identificeret med hjælp fra AI-baseret kodeanalyse – fejl, der havde ligget i PHP i længere tid, kunne pludselig findes og undersøges langt hurtigere. Den 20. oktober varslede PHP's sikkerhedsteam en ekstraordinær opdatering, og dagen efter blev rettelserne frigivet. Flere organisationer og myndigheder valgte at begrænse adgangen til deres systemer som forholdsregel, mens de undersøgte og opdaterede deres installationer.

Når alvorlige fejl bliver kendt, skal administratorer kunne reagere hurtigt. AI kan hjælpe sikkerhedsforskere med at finde fejl – men gør det også lettere for angribere at analysere dem.

Hvilke PHP-versioner er berørt?

Den 21. oktober udgav PHP sikkerhedsrettelser i følgende versioner:

Ældre PHP-versioner, der ikke længere understøttes officielt, modtager ikke nye sikkerhedsrettelser fra PHP-projektet – men nogle hostingudbydere og Linux-distributioner leverer selvstændige sikkerhedsrettelser til ældre versioner alligevel. Versionsnummeret alene er derfor ikke altid nok til at afgøre, om en server er beskyttet. Kører hjemmesiden på en ældre PHP-version, bør både dens sikkerhedsstatus og mulighederne for at opgradere undersøges.

En hjemmeside kræver vedligeholdelse – også under overfladen

Jeg arbejder med PHP, WordPress, Laravel og specialudviklede webløsninger og overtager jævnligt eksisterende hjemmesider, hvor den tekniske vedligeholdelse er blevet forsømt: en gammel PHP-version, plugins uden opdateringer, kode ingen længere vedligeholder.

Når man overtager en eksisterende WordPress-installation, handler opgaven derfor også om at forstå, hvad der ligger under overfladen. Det samme gælder, når man overvejer at skifte CMS – et nyt system løser ikke automatisk problemer med serverdrift, sikkerhed og ansvar. PHP2Shell er et konkret eksempel på, hvorfor det arbejde betyder noget: en hjemmeside kan fungere upåklageligt for de besøgende, samtidig med at serveren kører software med kendte sikkerhedshuller.

Det farlige er ikke, at din hjemmeside bruger PHP. Det er, hvis ingen ved, hvilken version den bruger, om den er sikkerhedsopdateret, eller hvem der har ansvaret.

Fem ting, du bør gøre

01_Find din PHP-version.I WordPress ligger den under Værktøjer → Webstedstilstand → Info → Server. På andre systemer findes den typisk i hostingpanelet eller serverkonfigurationen.

02_Spørg dit webhotel.Bed om en konkret bekræftelse på, at serveren er beskyttet mod begge PHP2Shell-sårbarheder – især vigtigt på Debian eller Ubuntu, hvor rettelser kan være indarbejdet i pakker uden at ændre PHP's overordnede versionsnummer.

03_Opdater, og test derefter.Tag backup af filer og database, sørg for at PHP er sikkerhedsopdateret, og test formularer, betaling, login og integrationer, før ændringerne lægges i produktion. Ved et større versionsskift skal kompatibiliteten tjekkes – ældre temaer, plugins og specialkode kan bruge funktioner, der ikke længere understøttes.

04_Undersøg tegn på angreb.En sikkerhedsopdatering lukker hullet, men fjerner ikke automatisk de ændringer, en angriber allerede kan have foretaget. Ved mistanke om kompromittering: tjek serverlogs, ukendte filer, administratorbrugere og usædvanlig aktivitet.

05_Aftal, hvem der har ansvaret.Hvem opdaterer PHP? Hvem overvåger serveren? Og hvem reagerer, når en kritisk sikkerhedsmeddelelse bliver offentliggjort? Det bør være aftalt, før der opstår et problem.

Læs mere

PHP – officielle sikkerhedsopdateringerde seneste versioner og sikkerhedsrettelser.

PHP – understøttede versionerom din version stadig modtager sikkerhedsopdateringer.

Akamai – Understanding PHP2Shellhukommelsesfejlene og angrebsforudsætningerne i detaljer.

JFrog – PHP2Shell Technical Analysisisær om PHP-sessioner, uploads og intern serialisering.

PHP – officiel sikkerhedsmeddelelserettede versioner og midlertidige afværgeforanstaltninger.

WordPress – Sådan opdaterer du PHPofficiel vejledning til at opgradere PHP på en WordPress-hjemmeside.

Laravel – Serverkrav og deploymentPHP-kompatibilitet og sikker drift af Laravel-applikationer.

Drupal – PHP-krav og kompatibilitethvilke PHP-versioner en Drupal-installation understøtter.

Magento / Adobe Commerce – Systemkrav og PHP-versionerofficiel oversigt over understøttede versioner og serverkrav.

CMS Løsninger

Er du i tvivl om den tekniske tilstand på din hjemmeside, hjælper jeg gerne med at skabe overblik over PHP, servermiljø, opdateringer og vedligeholdelse.

Emner_

Curriculum Vitae ↓

Profile Image

Paul Nybo Andersen

Profil_

49 år, CTO, grafisk designer og fullstack udvikler (LAMP/LEMP) med 27 års erfaring i udvikling af digitale løsninger til en bred målgruppe af virksomheder.

Scroll for læse mere →

01_Ydelser_

Hvordan jeg kan hjælpe

Jeg kombinerer design og udvikling til løsninger, der er enkle at bruge og nemme at holde af.

PHP • Laravel • MySQL • JavaScript

Webudvikling

Fra database og backend til frontend, integrationer og drift.

UX • Figma • Prototyper • Test

Webdesign & UX

Design af brugerflader, der skal fungere for både brugeren og forretningen.

Visuel identitet • Designsystemer • Print

Visuel identitet

Visuel identitet til virksomheder, der skal se ud som noget, man kan regne med.

WordPress • Umbraco • Magento

CMS Løsninger

CMS Løsninger bygget til dem, der skal arbejde i dem hver dag.

Core Web Vitals • SEO • Caching

Performance & SEO

Websites, der loader hurtigt – også på en telefon på et dårligt net.

Arkitektur • Teknologivalg • Sparring

Teknisk rådgivning

Når der skal træffes en teknisk beslutning, og du mangler nogen at vende den med.

02_Case: Lifeguard Health ApS_

8 år med Lifeguard

CTO & Co-Founder

Fra 2015 til 2023 var jeg CTO og medstifter af Lifeguard Health ApS. Her arbejdede jeg med udviklingen af en digital sundhedsplatform, der kombinerede teknologi, data og personlig coaching. Rollen omfattede alt fra produktudvikling, UX og softwarearkitektur til ledelse af udviklingsteams, drift og forretningsudvikling. De otte år i Lifeguard kom til at præge min tilgang til både teknologi, produkter og mennesker og danner i dag fundamentet for meget af det, jeg arbejder med.

Se Lifeguard's Core-story →

Lifeguard præsentation_1_4_

Slides #1 showing my last job
Slides #2 showing my last job
Slides #3 showing my last job

03_Ansættelseshistorik_

Mine erfaringer

Fra 1999 til 2026 har jeg i forskellige roller arbejdet med design, teknologi og digital forretning. Her er 10 nedslag i den erfaring — de opgaver, jeg har løst, og de kompetencer, jeg har brugt undervejs.

Se dem som cards, eller udforsk perioder og overlap på tidslinjen.

Erfaringer_

Billede fra min tid hos ESGRapporter

2024-2026, CTO & Co-founder

ESGRapporter

Nu: ESGRapporter ApS.

Vi byggede ESG-rapporteringsplatformen i Laravel og havde det tekniske ansvar for retningen, rapportdelen og alt det visuelle.

Billede fra min tid hos Revolvo

2024-2026, Senior Developer • UI/UX • Design

Revolvo

Nu: Revolvo Aps. + BmyGuest ApS.

Jeg arbejdede med udvikling, UI/UX og grafisk identitet. 60% af tiden gik til BmyGuest og IDoMeetings, som Revolvo var medejer af.

Billede fra min tid hos Lifeguard

2015-2023, CTO & Co-founder

Lifeguard

Nu: Lifeguard Health ApS.

Jeg byggede LifeScore-platformen i Laravel med samtykkestyret adgang til sundhedsdata, en app til armbåndet og stod for alt UX og design.

Billede fra min tid hos VitalityGuard

2016-2018, CTO & Co-founder

VitalityGuard

Nu: FIDIMI

Vi drev Lifeguard-platformen i white label gennem et joint venture med Dansk Sundhedssikring. Mærsk var den største kunde.

Billede fra min tid hos ContentCPH

2010-2015, Senior Digital Wizard

ContentCPH

Nu: Charlie Tango

Jeg byggede 60+ Facebook-apps i PHP for Samsung, IKEA og H&M. Nik & Jay-kampagnen for Samsung vandt Danish Internet Awards 2014.

Billede fra min tid hos BOCCA WIRED

2009-2010, Freelance udvikler

BOCCA WIRED

Nu: BOCCA

Jeg byggede kampagnesites for Movia og Hjerteforeningen, heriblandt Overraskende hurtig, der vandt bronze ved Creative Circle Award.

Billede fra min tid hos EuroRSCG

2008-2010, Inhouse Freelance udvikler

EuroRSCG

Nu: Havas Danmark

Jeg hentede bureauets digitale opgaver hjem fra konkurrenterne og byggede iPhone-site og interaktive produktværktøjer for GN/Jabra.

Billede fra min tid hos Makazilab

2005-2006, Co-founder & udvikler

Makazilab

Nu: MIND SWITCH

Medstifter af Makazilab, hvor jeg satte strøm til tre undervisningskoncepter om intelligenstyper, iværksætteri og kreativitet til folkeskole ..

Billede fra min tid hos Bandits Inc.

1999-2026, Enkeltmandsvirksomhed

Bandits Inc.

Nu: Audiotracking v/Paul Nybo Andersen

Min egen enkeltmandsvirksomhed siden 1999. Gennem den har jeg solgt webudvikling til bureauer, der havde grafikken, men manglede udvikleren.

Billede fra min tid hos Audio Management

1999-2003, Co-founder & Digital Director

Audio Management

Nu: Audiomanagement ApS

Medstifter af Audiomanagement, hvor vi udviklede SoundIdentity® — lydbranding og lyddesign til virksomheder som Bang & Olufsen og brandingek ..

Nu 2025 2020 2015 2010 2005 2000

Vælg en erfaring for at læse mere

04_Kompetencer + Stack_

Mine kompetencer

Som det fremgår af forrige sektion, har jeg gennem årene beskæftiget mig med en bred vifte af opgaver og indtaget mange forskellige jobroller, lige fra lydtekniker til fotograf, grafiker, webudvikler og CTO. Gennemgående for dem alle har været min passion for at skabe meningsfulde oplevelser og min drivkraft for at skabe noget unikt.

I min tilgang har jeg altid været åben over for at udforske nye løsninger til eksisterende udfordringer og har aldrig været bange for at tilegne mig ny viden. Dette har resulteret i en bred vifte af kompetencer, som jeg har sammensat over tid.

Jeg har her forsøgt at liste de væsentligste.

Rating

- " Der er jeg 100 meter mester i".

- " Det er jeg ret god til".

- " Det er jeg udemærket til".

- " Det er ikke det jeg er bedst til, men jeg kan til nøds".

- " Det er jeg ikke haj til - men jeg er villig til at lære".

05_Skrevet_

Noter fra arbejdet

2026-11_

PHP2Shell – kritisk sikkerhedshul i PHP

To alvorlige sikkerhedshuller i PHP har sat webservere verden over under pres. Det vigtigste spørgsmål er ikke kun, om hjemmesiden er opdateret – det er, hvem der har ansvaret for at holde den sikker, og er din hjemmeside beskyttet?

2026-11_

Web­tilgængelighed er mere end kontrast og alt-tekster

Kontrast og alt-tekster er begyndelsen. Resten opdager man første gang, nogen prøver at bruge siden uden mus.

2026-10_

En god brief gør de usynlige beslutninger synlige

"Det havde jeg regnet med var inkluderet."

2026-09_

Skal vi bygge AI ind i vores produkt?

"Vi skal have noget AI." Det kan være den rigtige beslutning. Jeg ville begynde med at finde ud af, hvilket problem teknologien skal løse.

2026-09_

Et godt design begynder ikke i Figma

Jeg kan åbne Figma og begynde at tegne en hjemmeside med det samme. Det er sjældent en god idé. For før jeg ved, hvordan siden skal se ud, vil jeg vide, hvad den skal få nogen til at gøre.

2026-08_

Hvad er teknisk SEO – og hvad er det ikke?

Når en side ikke bliver fundet på Google, er det fristende at begynde med teksten. Men før jeg ville ændre indholdet, ville jeg sikre mig, at Google faktisk kan finde siden, læse den og forstå, hvilken version der skal vises i søgeresultatet. Det er en stor del af det, teknisk SEO handler om - Tekniske problemer kan stå i vejen for selv godt indhold.

2026-08_

Hvad koster en hjemmeside?

– og hvorfor er to tilbud næsten umulige at sammenligne

2026-08_

Hvorfor er min hjemmeside langsom?

En langsom hjemmeside kan skyldes et billede på 4 MB. Den kan også skyldes 10 andre ting. Det første spørgsmål er derfor ikke, hvad sitet er bygget i – det er, hvor tiden forsvinder hen.

2026-06_

Hvilket CMS skal man vælge?

WordPress, Umbraco, Drupal, Shopify, Webflow eller noget helt sjette? Mit lidt irriterende svar er som regel: Hvad skal det bruges til?

2026-05_

En visuel identitet skal kunne fungere uden grafikeren

En visuel identitet er nem at få til at se godt ud på en skærm. Det bliver sværere, når den skal ud i virkeligheden – i en PowerPoint, på en faktura, på et skilt nogen selv retter i tre år senere.

2026-05_

Er mit job som grafiker truet?

AI-genereret grafik er rykket ud af computeren og ind i den virkelige verden. Spørgsmålet er ikke længere, om AI kan lave grafik. Det kan den. Spørgsmålet er, hvad der så er tilbage af grafikerens arbejde.

2026-04_

Hvornår skal man skifte CMS?

De fleste stiller det forkerte spørgsmål først. Det interessante er ikke, hvilket CMS der er bedst – det er, om problemet overhovedet er CMS'et.

2026-04_

WordPress – kort fortalt

Det, der gør WordPress nemt at udvide, er samtidig årsagen til mange af de problemer, man møder i ældre installationer.

2026-03_

WordPress vs. headless — hvad er forskellen i praksis

Headless giver frihed ved at skille tingene ad. Men det, man skiller ad, skal bagefter forbindes igen.

2026-02_

Nogle gange designer jeg i VS Code

Ikke fordi jeg har opgivet Figma. Men fordi det nogle gange er hurtigere at se, om en idé holder, i browseren end på et canvas.

2026-01_

Den dyreste kode er den, man ikke behøver at skrive

Ikke al dyr kode er dårlig kode. Nogle af de dyreste beslutninger, jeg har været med til, var velskrevne løsninger på problemer, ingen havde endnu.

2025-12_

Fra koder til reviewer – hvordan AI har ændret arbejdsgangen

AI ændrer på kort sigt ikke, hvad jeg kan – det ændrer blot min arbejdsgang.

2025-11_

Kunsten at arve en WordPress-installation

8 år, 34 plugins og et tema, ingen tør røre. Opgaven begynder ikke med at rette noget – den begynder med at finde ud af, hvad der bliver brugt.

2025-08_

Ctrl, Cmd og C#

Et sprog er til at lære. Det er domænet og kodebasen, der tager tid – og to maskiner, der kostede mere opmærksomhed end syntaksen.

2025-02_

Efter en konkurs

35 millioner på det højeste, konkurs i december 2023, nyt selskab syv måneder senere. Det her er, hvad der lå imellem – og hvad jeg tog med.

2024-11_

Rapporten der skulle ligge i receptionen

Da vi byggede ESGRapporter, havde konkurrenterne tungere beregningsmotorer end os. Vi satsede et andet sted: på at det, brugeren sad tilbage med, var værd at vise frem.

06_Når jeg ikke arbejder_

Lidt om mig

Jeg er født og opvokset i København. Men efter nogle år med børn i lejlighed på Østerbro, valgte min kæreste og jeg at flytte i hus. Vi bor i Hellerup på 11. år, men ikke længere væk fra København end man kan hoppe op på cyklen og så er man tilbage.

Sidstnævnte gør jeg ofte - det handler om inspiration og nye designindtryk. Jeg forsøger af samme grund stadig at finde tid til fototure. Men da mit arbejde altid har været min hobby, har det været en udfordring at finde balance mellem tid til både fritidsprojekter og arbejdsprojekter.

Når jeg ikke arbejder bruger jeg en del tid med at spiller og lytte til musik. Desværre er det med tiden mest blevet til lytning, hvilket har været en meget dyr, men også givtig passion.

Fælles for alle mine passioner er ønsket om af skabe noget - jeg håber at dette kan komme jer til gode.

Se TT38 profil

+25 års erfaring med digitale produkter ↓

Tilgængelig for rådgivning, udvikling, digitale produkter og teknisk ledelse.