Guide
PHP-hullet: sådan lukker I det på jeres WordPress-side
Den 21. oktober 2026 lukkede PHP to kritiske sikkerhedshuller i selve PHP. Hullerne kan lade en fremmed køre kode på jeres server uden at logge ind. En opdatering af WordPress lukker dem ikke, for PHP kører hos jeres webhotel. Det, der skal til, er en PHP-version, hvor hullerne er rettet. Her er de fire trin og de sikre versionsnumre.
Hvorfor hjælper det ikke at opdatere WordPress?
WordPress er skrevet i PHP, og PHP er det program på webhotellets server, der får siden til at køre. Hullerne sidder i PHP, ikke i WordPress, i jeres tema eller i en udvidelse. Derfor ændrer en opdatering inde i WordPress ikke noget her.
Ifølge PHP selv gælder det alle PHP-installationer, der svarer på besøg fra nettet. Har I en anden slags hjemmeside, der kører på PHP, skal den også tjekkes. Hullerne har numrene CVE-2026-109618 og CVE-2026-109619.
Trin 1: Tjek jeres PHP-version
Log ind i WordPress, og gå til Værktøjer, Webstedshelbred og fanen Info. Åbn afsnittet Server, og find linjen PHP-version.
Sammenlign tallet med listen over sikre versioner længere nede. Viser WordPress en advarsel om, at jeres PHP-version ikke længere vedligeholdes, skal den skiftes under alle omstændigheder.
Trin 2: Tag en backup
Tag en fuld backup af siden, før I ændrer noget, både filer og database. Brug jeres backup-udvidelse eller webhotellets egen backup, og hent en kopi ned på jeres egen computer. Så kan I altid gå tilbage, hvis noget holder op med at virke.
Trin 3: Skift til PHP 8.3 hos jeres webhotel
PHP-versionen vælges i webhotellets kontrolpanel, ikke i WordPress. Hos de fleste webhoteller hedder indstillingen noget med PHP-version. Vælg 8.3 eller nyere, og gem.
Kører siden i dag på 7.4, eller er det en webshop, så få hjælp, før I skifter. Et spring fra 7.4 til 8 kan få ældre udvidelser og temaer til at holde op med at virke, og i en webshop koster det salg, hvis kurven går i stå.
Trin 4: Test siden
Gå tilbage til Webstedshelbred, fanen Info og afsnittet Server, og tjek, at PHP-version nu viser en sikker version, fx 8.3.36. Klik derefter siden igennem: forsiden, et par undersider, kontaktformularen og, hvis I har en webshop, kurven og betalingen.
Står der stadig et lavere nummer, fx 8.3.35, har webhotellet ikke lagt rettelsen på endnu. Så er det dem, I skal kontakte.
De sikre versionsnumre
PHP lukkede hullerne i fire versioner. Det står i PHP’s sikkerhedsmeddelelse af 21. oktober 2026. Jeres PHP-version skal være mindst den rettede version i sin serie:
- PHP 8.5: 8.5.12 eller nyere
- PHP 8.4: 8.4.27 eller nyere
- PHP 8.3: 8.3.36 eller nyere
- PHP 8.2: 8.2.35 eller nyere. PHP holder op med at rette 8.2 den 31. december 2026, så vælg hellere 8.3 eller nyere.
- PHP 8.1 og ældre, også 7.4: ingen rettet version. PHP opdaterer ikke længere de versioner. Nogle webhoteller lapper dem selv, men det kan I ikke se på versionsnummeret. Skift til 8.3 eller nyere.
Vil I have hjælp?
Er I i tvivl om, hvilken version siden kører på, eller vil I ikke skifte selv, så skriv til os. Så kigger vi på det sammen med jer.