Säker hemsida efter PHP2Shell: vad du gör nu

Den 21 oktober 2026 släppte PHP en fix för två hål i själva PHP, språket bakom omkring 70 procent av alla hemsidor. Hålen kallas PHP2Shell och låter vem som helst köra kod på din server utan att logga in. Kör din hemsida PHP, alltså WordPress, WooCommerce, Joomla eller de flesta svenska småföretagssajter, så gäller det dig.

Det jobbiga är att du inte kan laga det själv. Inget i WordPress och inget tillägg hjälper, för hålet sitter under WordPress. Bara webbhotellet eller den som sköter servern kan stänga det.

Jag har byggt hemsidor i 17 år, har PHP-system i drift sedan 2013 och bygger numera mest statiska sajter, som den här. Jag har alltså en fot i varje läger. Här är vad PHP2Shell betyder för dig som äger en hemsida, och vad du gör nu och framöver.

Fönstret har stängts

Förr fanns det tid att uppdatera, och den tiden finns oftast inte längre.

• 2018 tog det 756 dagar från att ett hål blev känt tills det utnyttjades, enligt Mandiants siffror.
• 2025 tog det 5 timmar för de mest attackerade WordPress-hålen, enligt Patchstack. Patchstack säljer skydd, så ta det som en riktning, inte en exakt siffra.
• PHP2Shell tog minus fyra dagar. Amazons lockservrar, så kallade honeypots, såg försök den 17 oktober, fyra dagar innan fixen fanns.

På andra sidan tar det företag i snitt 43 dagar att täppa till ett hål som redan utnyttjas, enligt Verizons rapport DBIR 2026.

Sätt de siffrorna bredvid varandra. Angriparna räknar i timmar och de flesta hemsidor i veckor. En rutin som bygger på att någon ser att det kommit en uppdatering och gör den när det blir en lucka är därför redan för sen. Det är inte ditt fel, det är så spelet ser ut nu.

Enligt Cloudflares vd var försöken uppe i miljoner redan dagen efter. Hur många sajter som faktiskt tagits över vet ingen ännu. Den 23 oktober hade ingen publicerat en bekräftad siffra.

Tre frågor till den som sköter din hemsida

Det viktigaste du kan göra den här veckan är att ställa tre frågor.

• Vilken PHP-version kör min hemsida? Fixen finns bara för 8.2, 8.3, 8.4 och 8.5. För 8.1 och äldre finns ingen officiell fix alls, och omkring en miljon servrar kör sådana versioner.
• Vem uppdaterar PHP, och hur snabbt? Det är inte du i WordPress-panelen. Det är webbhotellet eller den som sköter servern.
• Vad gjorde ni den 21 oktober?

Den sista frågan har ett svenskt riktmärke. Webbhotellet Oderland i Göteborg hade alla PHP-versioner uppdaterade klockan 04:05 natten till den 22 oktober, och skrev öppet om varje steg. Kan ditt webbhotell inte ge ett liknande svar har du fått ett svar ändå.

CERT-SE skickade ett blixtmeddelande samma dag. Rådet till den som inte kan uppdatera var rakt: ”isolera internetexponerade PHP-baserade applikationer från publika nätverk”. På vanlig svenska betyder det att du stänger av sajten tills den är lagad. Enligt branschsajten MKSE gick flera kommuners WordPress-sajter ner den dagen.

Det här är inte en engångshändelse

PHP2Shell är det fjärde stora hålet i kärnan på två och ett halvt år.

• Juni 2024: CVE-2024-4577, ett hål i PHP på Windows som utnyttjades inom dagar.
• Juli 2026: wp2shell, två hål i WordPress-kärnan som gav full kontroll med ett enda anrop.
• September 2026: CVE-2026-87902 i WordPress-kärnan, med försök samma dag som fixen kom.
• Oktober 2026: PHP2Shell.

I många år var det ärliga svaret att WordPress i sig är tryggt och att problemen sitter i tilläggen. Siffrorna gav det rätt. Under 2025 satt bara 6 av 11 334 nya WordPress-hål i kärnan. Det stämmer fortfarande för de flesta hål. Men de stora händelserna 2026 har flyttat ner en våning, till kärnan och till PHP, där du som ägare inte har någon knapp att trycka på.

Det finns en ljus sida också. När wp2shell slog till tog konsulten Daniel Card stickprov på omkring 3 500 sajter och fann att färre än 15 procent fortfarande var sårbara. Han gav äran åt tvingande automatiska uppdateringar och brandväggar framför sajterna. Det som skyddade var inte att någon var snabb, utan att ingen behövde vara det.

WordPress-säkerhet: hoten mot en vanlig hemsida

Ingen väljer ut din hemsida, det är skannrar som hittar den.

• Kända hål. Robotar söker av nätet efter tillägg, teman och PHP-versioner med kända brister. Är du inte uppdaterad när roboten kommer förbi blir du träffad.
• Lösenord. Wordfence stoppade 16 miljarder inloggningsförsök mot WordPress bara under första kvartalet 2026.
• Spam som bara Google ser. I våras hittades en bakdörr i ett tjugotal tillägg som visade spamlänkar enbart för Googles robot. Ägarna såg inget när de besökte sin egen sajt.
• Kortskimmare i webbshoppar. Kortuppgifter kopieras i kassan utan att något syns.
• Köpta tillägg. Bakdörren ovan kom in efter att tilläggen sålts till en ny ägare.
• Kontot hos webbhotellet. I april varnade CERT-SE för ett hål i cPanel, panelen många webbhotell använder.

Hur får ägaren reda på att hemsidan är hackad? Oftast inte själv. Det brukar vara en varning i Google Search Console, en kund som ringer eller webbhotellet som stänger av kontot. Då har det redan kostat ranking eller förtroende. Att bara ta bort spammen räcker sällan heller. Nästan hälften av de sajter Sucuri städade hade en bakdörr kvar.

Är en statisk hemsida säkrare?

Oftast ja, men inte på det sätt folk tror.

En statisk sajt, byggd i till exempel Astro eller Hugo, är färdiga filer. Det finns ingen PHP, ingen databas, ingen inloggning och inga tillägg på servern som besökarna når. Astro gör så som standard. PHP2Shell och wp2shell kan därför inte ens träffa en sådan sajt. Går något snett lägger man upp filerna igen från koden, i stället för att leta skadlig kod på servern.

Men riskerna försvinner inte, de flyttar.

• Kontona. Webbhotell, domän, Git och npm. Den som kommer åt kontot kan byta ut hela sajten, så här behövs tvåstegsverifiering.
• Byggkedjan. I september 2025 kapades 18 npm-paket med över två miljarder nedladdningar i veckan, och masken Shai-Hulud stal nycklar ur byggsystem.
• Skript från andra. Polyfill.io skickade besökare på över 100 000 sajter vidare till bedragare, oavsett vad sajterna var byggda i.
• Uppdateringar. Astro fick i augusti 2026 ett hål där en elak AVIF-bild kunde köra kod, lagat i version 7.2.8. En statisk sajt behöver också uppdateras, bara inte i panik.

En sak till måste sägas. Det finns ingen studie som jämför hur många sajter som hackas per plattform. Det jag kan säga är att skillnaden mellan en välskött WordPress-sajt och en statisk sajt är mindre än skillnaden mellan en typisk WordPress-sajt och en statisk sajt.

Jag bygger statiskt för att det tar bort den del av tekniken som blev massattackerad tre gånger 2026, och för att kunden då slipper ha någon som måste reagera inom timmar. Samtidigt har jag PHP-system i drift sedan 2013, Profilbutiken är ett av dem, så jag vet att en välskött PHP-sajt också går att hålla trygg. Det är skötseln som avgör, mer än tekniken.

Vad AI har med saken att göra

AI hittade hålet, men det är människor och vanliga robotar som utnyttjar det.

Både PHP2Shell och wp2shell hittades av forskare som använde AI-modeller. AI gör det också billigare att gå från en fix till ett fungerande angrepp. Men i Rapid7:s genomgång av tredje kvartalet 2026 var AI en del av angreppet i 8 procent av fallen. Och hål som hittats med AI utnyttjas i samma låga takt som alla andra, 14 av 1 061 enligt VulnCheck.

Vänta dig alltså fler hål och snabbare angrepp, men samma gamla masskanning. Det ändrar inte vad du ska göra. Det gör det bara mer bråttom.

Vad du ska göra nu

Att uppdatera WordPress för hand en gång i månaden räcker inte längre. Det här gör du den här veckan:

• Fråga webbhotellet vilken PHP-version du kör och vad de gjorde den 21 oktober.
• Slå på automatiska uppdateringar för WordPress-kärnan och alla tillägg.
• Ta bort tillägg du inte använder.
• Slå på tvåstegsverifiering på WordPress-inloggningen, webbhotellet och domänkontot.

Och det här under året:

• Sätt en brandvägg eller ett CDN framför sajten. Cloudflare hade regler mot PHP2Shell på plats nio timmar innan hålet blev känt, även på gratisplanen.
• Ordna en backup som ligger utanför servern, och som du faktiskt testat att återställa.
• Utse en person som ansvarar för sajten, med ett svar på hur snabbt hen agerar. Mät det i timmar.
• Skriv en plan för vad du gör om kunduppgifter läcker. GDPR kräver att du anmäler till IMY inom 72 timmar.

Den nya cybersäkerhetslagen gäller inte ett vanligt småföretag, så det här är ingen NIS2-skrämsel. Men IMY:s beslut mot Sportadmin i januari 2026, 6 miljoner kronor efter ett känt hål som ingen åtgärdat, visar vad känd risk utan åtgärd kan kosta även utan den lagen.

Min syn på det här

Det här kommer troligen att hända igen, och oftare. Fler hittar hål med AI, fixarna kommer tätare och angreppen börjar innan fixen finns. Ingen av oss hinner reagera för hand.

Det billiga svaret är att bestämma nu vem som sköter din hemsida och hur snabbt. Det är en fråga om avtal och rutiner, inte om vilken teknik som är bäst. En hemsida ska dra in kunder, inte vara något du oroar dig för på kvällen.

Vill du att jag tittar på din sajt och säger rakt ut var den är sårbar och vem som borde sköta vad? Hör av dig så tar vi ett samtal, helt förutsättningslöst.