Har dere et WordPress-nettsted? KI fant kritiske hull i PHP – slik sjekker du at nettstedet er oppdatert

To kritiske sikkerhetshull i PHP, språket som WordPress og en stor del av alle nettsteder er bygget på, gjør at en angriper kan ta over en webserver uten å logge inn. Hullene ble funnet ved hjelp av KI, og oppdateringer kom 21. oktober. Amazon har sett forsøk på å utnytte dem. Har bedriften, foreningen eller bloggen din et eget nettsted: slik sjekker du at det er beskyttet.

21. oktober 2026 slapp PHP-prosjektet versjonene 8.5.12, 8.4.27, 8.3.36 og 8.2.35. De tetter to kritiske sårbarheter, CVE-2026-109618 og CVE-2026-109619, som til sammen kalles PHP2Shell. Begge har fått 9,2 av 10 i alvorlighetsgrad. Ifølge PHP-prosjektet gjelder de alle PHP-installasjoner som svarer på webforespørsler, og hullene kan la en angriper kjøre egen kode på serveren uten å logge inn. PHP-prosjektet oppfordrer alle til å oppdatere med en gang. Svenske CERT-SE advarte samme dag.

Hvorfor rammer det så mange? PHP er programmeringsspråket under WordPress, Joomla og Drupal, og ifølge sikkerhetsselskapet Wiz under 70 prosent av alle nettsteder. Hullet sitter i selve PHP, ikke i WordPress. Wiz viste at de kunne ta over nyinstallerte WordPress-, Drupal- og Joomla-nettsteder, og ifølge Automattic, selskapet bak WordPress.com, hjelper det ikke å oppdatere WordPress, temaet eller utvidelsene. Det er PHP på serveren som må oppdateres.

Her kommer KI inn. Feilene har eksistert i mer enn ti år og gjelder versjoner helt tilbake til PHP 5.4. Wiz skriver at det var KI-modellene Gemini 4 Argon og GPT-5.6 Sol som gjorde det praktisk mulig å finne dem og bygge angrep som virker, noe som ifølge Wiz ellers ville tatt et team av eksperter måneder. Sikkerhetsselskapet Calif og OpenAI rapporterte også feilene. Amazon advarer om baksiden: KI gjør det billigere å gjøre en sikkerhetsoppdatering om til et angrep, så tiden mellom oppdatering og angrep blir stadig kortere.

Hvor ille er det akkurat nå? Amazon oppdaget et forsøk på å utnytte hullene allerede 17. oktober, fire dager før de ble kjent, og skriver at PHP2Shell nå ses i brede angrepsforsøk. Amazon vet ikke om forsøkene ville ha lyktes mot ekte systemer. Samtidig rapporterte sikkerhetsselskapet Dataminr bare skanning og angrep som ikke virket, og ingen kjente innbrudd. Det er altså ikke grunn til panikk, men det haster.

Hva gjelder for deg? Ligger nettstedet hos WordPress.com, er det allerede beskyttet ifølge Automattic, og du trenger ikke gjøre noe. Har du et vanlig webhotell eller et webbyrå som drifter serveren, er det de som skal oppdatere, men be dem bekrefte det. Kjører nettstedet PHP 8.1 eller eldre, får det ingen offisielle oppdateringer lenger, og også PHP 8.2 slutter å få sikkerhetsoppdateringer 31. desember 2026. Da er det på tide å flytte til en nyere versjon.

Kilder

• PHP.net: Security advisory: Critical remote code execution vulnerabilities, update now (21 okt 2026) (hentet 2026-10-24)
• CERT-SE: Kritiska sårbarheter i PHP (21 okt 2026) (hentet 2026-10-24)
• Wiz Research: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet (21 okt 2026) (hentet 2026-10-24)
• AWS Security Blog: Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure (21 okt 2026) (hentet 2026-10-24)
• BleepingComputer: Amazon says PHP2Shell exploitation began 4 days before patches (inkl. Dataminr: inga kända intrång) (hentet 2026-10-24)
• Automattic: Your Sites Are Protected Against the PHP2Shell Vulnerabilities (21 okt 2026) (hentet 2026-10-24)

TipAI forklarer AI på et enkelt språk for nybegynnere, familier og småbedrifter. Hver artikkel har kilder og «Slik kommer du i gang».

← Alle nyheter · Prøv TipAI