Har ni en WordPress-sajt? AI hittade kritiska hål i PHP – så kollar du att sajten är uppdaterad

Två kritiska säkerhetshål i PHP, språket som WordPress och en stor del av alla webbplatser bygger på, gör att en angripare kan ta över en webbserver utan att logga in. Hålen hittades med hjälp av AI, och uppdateringar kom den 21 oktober. Amazon har sett försök att utnyttja dem. Har ditt företag, din förening eller din blogg en egen sajt: så kollar du att den är skyddad.

Den 21 oktober 2026 släppte PHP-projektet versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35. De täpper till två kritiska sårbarheter, CVE-2026-109618 och CVE-2026-109619, som tillsammans kallas PHP2Shell. Båda har fått 9,2 av 10 i allvarlighetsgrad. Enligt PHP-projektet gäller de alla PHP-installationer som svarar på webbanrop, och hålen kan låta en angripare köra egen kod på servern utan att logga in. PHP-projektet uppmanar alla att uppdatera direkt. Svenska CERT-SE varnade samma dag.

Varför berör det så många? PHP är programspråket under WordPress, Joomla och Drupal, och enligt säkerhetsföretaget Wiz under 70 procent av alla webbplatser. Hålet sitter i själva PHP, inte i WordPress. Wiz visade att de kunde ta över nyinstallerade WordPress-, Drupal- och Joomla-sajter, och enligt Automattic, företaget bakom WordPress.com, skyddar det inte att uppdatera WordPress, temat eller tilläggen. Det är PHP på servern som måste uppdateras.

Här kommer AI in. Felen har funnits i mer än tio år och gäller versioner ända tillbaka till PHP 5.4. Wiz skriver att det var AI-modellerna Gemini 4 Argon och GPT-5.6 Sol som gjorde det praktiskt möjligt att hitta dem och bygga fungerande attacker, något som enligt Wiz annars hade tagit ett team av experter månader. Säkerhetsföretaget Calif och OpenAI rapporterade också felen. Amazon varnar för baksidan: AI gör det billigare att förvandla en säkerhetsuppdatering till en attack, så tiden mellan uppdatering och angrepp blir allt kortare.

Hur illa är det just nu? Amazon upptäckte ett försök att utnyttja hålen redan den 17 oktober, fyra dagar innan de blev kända, och skriver att PHP2Shell nu ses i breda attackförsök. Amazon vet inte om försöken skulle ha lyckats mot riktiga system. Säkerhetsföretaget Dataminr rapporterade samtidigt bara skanning och attacker som inte fungerade, och inga kända intrång. Det är alltså inte panik, men det är bråttom.

Vad gäller dig? Ligger sajten hos WordPress.com är den redan skyddad enligt Automattic, och du behöver inte göra något. Har du ett vanligt webbhotell eller en webbyrå som sköter servern är det de som ska uppdatera, men be dem bekräfta det. Kör sajten på PHP 8.1 eller äldre får den inga officiella uppdateringar längre, och även PHP 8.2 slutar få säkerhetsuppdateringar den 31 december 2026. Då är det dags att flytta till en nyare version.

Källor

• PHP.net: Security advisory: Critical remote code execution vulnerabilities, update now (21 okt 2026) (hämtad 2026-10-24)
• CERT-SE: Kritiska sårbarheter i PHP (21 okt 2026) (hämtad 2026-10-24)
• Wiz Research: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet (21 okt 2026) (hämtad 2026-10-24)
• AWS Security Blog: Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure (21 okt 2026) (hämtad 2026-10-24)
• BleepingComputer: Amazon says PHP2Shell exploitation began 4 days before patches (inkl. Dataminr: inga kända intrång) (hämtad 2026-10-24)
• Automattic: Your Sites Are Protected Against the PHP2Shell Vulnerabilities (21 okt 2026) (hämtad 2026-10-24)

TipAI förklarar AI på ren svenska för nybörjare, familjer och småföretag. Varje artikel har källor och "Så kommer du igång".

← Alla nyheter · Testa TipAI