Har I en WordPress-hjemmeside? AI fandt kritiske huller i PHP – sådan tjekker du, at siden er opdateret

To kritiske sikkerhedshuller i PHP, sproget som WordPress og en stor del af alle hjemmesider er bygget på, gør, at en angriber kan overtage en webserver uden at logge ind. Hullerne blev fundet med hjælp fra AI, og opdateringer kom den 21. oktober. Amazon har set forsøg på at udnytte dem. Har din virksomhed, forening eller blog sin egen hjemmeside: sådan tjekker du, at den er beskyttet.

Den 21. oktober 2026 udgav PHP-projektet versionerne 8.5.12, 8.4.27, 8.3.36 og 8.2.35. De lukker to kritiske sårbarheder, CVE-2026-109618 og CVE-2026-109619, som tilsammen kaldes PHP2Shell. Begge har fået 9,2 ud af 10 i alvorlighed. Ifølge PHP-projektet gælder de alle PHP-installationer, der svarer på webforespørgsler, og hullerne kan lade en angriber køre sin egen kode på serveren uden at logge ind. PHP-projektet opfordrer alle til at opdatere med det samme. Svenske CERT-SE advarede samme dag.

Hvorfor rammer det så mange? PHP er programmeringssproget under WordPress, Joomla og Drupal, og ifølge sikkerhedsfirmaet Wiz under 70 procent af alle hjemmesider. Hullet sidder i selve PHP, ikke i WordPress. Wiz viste, at de kunne overtage nyinstallerede WordPress-, Drupal- og Joomla-sider, og ifølge Automattic, virksomheden bag WordPress.com, hjælper det ikke at opdatere WordPress, temaet eller plugins. Det er PHP på serveren, der skal opdateres.

Her kommer AI ind i billedet. Fejlene har eksisteret i mere end ti år og gælder versioner helt tilbage til PHP 5.4. Wiz skriver, at det var AI-modellerne Gemini 4 Argon og GPT-5.6 Sol, der gjorde det praktisk muligt at finde dem og bygge angreb, der virker, noget som ifølge Wiz ellers ville have taget et hold eksperter måneder. Sikkerhedsfirmaet Calif og OpenAI rapporterede også fejlene. Amazon advarer om bagsiden: AI gør det billigere at forvandle en sikkerhedsopdatering til et angreb, så tiden mellem opdatering og angreb bliver stadig kortere.

Hvor slemt er det lige nu? Amazon opdagede et forsøg på at udnytte hullerne allerede den 17. oktober, fire dage før de blev kendt, og skriver, at PHP2Shell nu ses i brede angrebsforsøg. Amazon ved ikke, om forsøgene ville være lykkedes mod rigtige systemer. Samtidig rapporterede sikkerhedsfirmaet Dataminr kun scanninger og angreb, der ikke virkede, og ingen kendte indbrud. Der er altså ikke grund til panik, men det haster.

Hvad gælder for dig? Ligger siden hos WordPress.com, er den allerede beskyttet ifølge Automattic, og du behøver ikke gøre noget. Har du et almindeligt webhotel eller et webbureau, der driver serveren, er det dem, der skal opdatere, men bed dem bekræfte det. Kører siden PHP 8.1 eller ældre, får den ikke længere officielle opdateringer, og også PHP 8.2 holder op med at få sikkerhedsopdateringer den 31. december 2026. Så er det tid til at flytte til en nyere version.

Kilder

• PHP.net: Security advisory: Critical remote code execution vulnerabilities, update now (21 okt 2026) (hentet 2026-10-24)
• CERT-SE: Kritiska sårbarheter i PHP (21 okt 2026) (hentet 2026-10-24)
• Wiz Research: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet (21 okt 2026) (hentet 2026-10-24)
• AWS Security Blog: Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure (21 okt 2026) (hentet 2026-10-24)
• BleepingComputer: Amazon says PHP2Shell exploitation began 4 days before patches (inkl. Dataminr: inga kända intrång) (hentet 2026-10-24)
• Automattic: Your Sites Are Protected Against the PHP2Shell Vulnerabilities (21 okt 2026) (hentet 2026-10-24)

TipAI forklarer AI i et enkelt sprog for begyndere, familier og små virksomheder. Hver artikel har kilder og "Sådan kommer du i gang".

← Alle nyheder · Prøv TipAI