Sikkerhedsopdatering

PHP2Shell: din hjemmeside er allerede sikret

Du har måske læst om to alvorlige sikkerhedshuller i PHP, det sprog de fleste hjemmesider og webshops bygger på. Her er, hvad vi har gjort, og hvorfor dit versionsnummer kan se uændret ud, selvom hullet er lukket.

Du skal ikke gøre noget. Vi har installeret rettelsen på alle vores servere. Resten af denne side er for dig, der gerne vil forstå det eller selv vil se beviset.

Hvad er der sket?

Der er fundet to kritiske fejl i PHP (CVE-2026-109618 og CVE-2026-109619, omtalt som „PHP2Shell“). De kan i værste fald give en angriber adgang til at køre kode på serveren. Fejlene blev rettet af PHP den 21. oktober 2026, og vi rullede opdateringen ud på alle servere samme aften.

Hvorfor ser versionsnummeret uændret ud?

Mange guides siger kort og godt: „Har du en PHP-version under 8.2.35, er du sårbar.“ Det gælder, hvis serveren henter PHP direkte fra PHP-projektet. Vores driftsplatform gør det anderledes: rettelsen lægges ind i den version, du allerede kører, i stedet for at skifte hele versionen ud. Selve PHP-nummeret står derfor stille, mens et udgivelsesnummer bagved tæller op.

8.4.26-ny udgave

PHP-versionenStår stille — og det er meningen. UdgivelsesnummeretHer ligger rettelsen. Et nyt nummer = repareret.

Sammenlign det med en nøglecylinder: låsesmeden skifter mekanismen indeni, men døren og husnummeret er det samme. Nummeret på døren fortæller, hvor du bor, ikke om låsen er blevet skiftet.

Vil du selv se, at du er dækket?

Kig efter ét af disse tegn. Er bare ét til stede, er din PHP opdateret:

1 · Byggedato den 21. oktober 2026 eller senere Det stærkeste tegn. Når PHP er bygget om med rettelsen, opdateres „Build Date“. Build Date: Oct 21 2026
2 · Et udgivelsesnummer efter versionen Versionen bærer en ekstra udgave fra driftsplatformen. 8.4.26-… (ny revision)
3 · En af de rettede PHP-versioner Kører du en helt ny version, er du selvfølgelig også dækket. 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35

Opret en fil med navnet info.php med denne ene linje:
```
<?php phpinfo();
```
Læg filen i samme mappe som din forside (typisk public_html) via FTP eller Filhåndtering i kontrolpanelet.
Åbn https://dit-domæne.dk/info.php i browseren.
Søg på siden (Ctrl/⌘ + F) efter Build Date. Er datoen 21. oktober 2026 eller senere, er du dækket.
Slet filen igen, når du har set det.

phpinfo() afslører mange tekniske detaljer om serveren. Lad aldrig filen ligge på hjemmesiden — slet den straks efter tjekket.

Spørgsmål og svar

Min version er 8.2.34, men nyhederne siger 8.2.35. Er jeg i fare?

Nej. 8.2.35 er PHP-projektets egen udgivelse med rettelsen. Den samme rettelse er lagt ind i 8.2.34 hos os, uden at nummeret er hævet. Byggedatoen ovenfor viser, at den er på plads.

En scanner eller et AI-værktøj melder, at min PHP er sårbar. Passer det?

Ikke på vores servere. Værktøjer, der kun læser versionsnummeret, kan ikke se rettelsen og melder derfor fejlagtigt „sårbar“. Det er en kendt bivirkning ved denne måde at udrulle sikkerhedsrettelser på, og den bruges også af store Linux-udbydere som Red Hat og Ubuntu.

Jeg kører en ældre version som PHP 7.4. Er den også rettet?

Ja, rettelsen dækker også de ældre versioner på vores servere. Her findes der ikke et „nyt“ versionsnummer at lede efter, så brug byggedatoen. Vi anbefaler altid at opgradere til en nyere PHP-version, når din hjemmeside er klar til det, og vi udfaser løbende de ældste versioner.

Skal jeg bekymre mig om fremtidige huller?

Vi overvåger løbende og installerer sikkerhedsrettelser, så snart de frigives. Kører du en PHP-version, der ikke længere vedligeholdes, kontakter vi dig om at skifte til en understøttet version.

Stadig i tvivl, eller kan du ikke finde tegnene?

Skriv til os med dit domæne, så tjekker vi serveren og vender tilbage: [email protected]