Miljontals angreppsförsök mot kritiska säkerhetshål i PHP har fått banker, myndigheter och andra organisationer att tillfälligt stänga digitala tjänster. Även svenska företag och webbplatsägare behöver kontrollera sina system. Säkerhetsuppdateringar finns nu tillgängliga, men alla installationer är inte automatiskt skyddade.

Säkerhetsbristerna blev offentliga den 21 oktober 2026 och har fått samlingsnamnet PHP2Shell. Enligt internetföretaget Cloudflare ökade angreppsförsöken kraftigt nästan omedelbart efter offentliggörandet. Inom två timmar registrerades hundratusentals försök, och därefter hade antalet nått miljonnivån.

Det betyder inte att miljontals webbplatser har hackats. Siffrorna beskriver försök att utnyttja sårbarheterna, inte bekräftade intrång.

Amazon har dessutom upptäckt misstänkta angreppsförsök redan den 17 oktober, fyra dagar innan säkerhetsbristerna offentliggjordes. Det gör att företag inte enbart kan utgå från vad som har hänt efter att varningarna kom.

Vilka företag och webbplatser berörs?

PHP är ett av världens mest använda programmeringsspråk för webbtjänster. Det finns bakom allt från mindre företagswebbplatser till stora e-handelsplattformar och offentliga digitala tjänster.

Bland systemen som kan beröras finns:

• WordPress-webbplatser, även sådana som använder WooCommerce.
• E-handelsplattformar som Magento.
• Webbplatser byggda med Drupal eller Joomla.
• Kundportaler, bokningssystem och andra PHP-baserade affärsapplikationer.
• Specialutvecklade system på egna servrar eller hos externa driftleverantörer.

De två aktuella säkerhetsbristerna, CVE-2026-109618 och CVE-2026-109619, har fått allvarlighetsgraden 9,2 av 10 enligt den internationella bedömningsskalan CVSS 4.0.

I vissa servermiljöer kan angripare utnyttja bristerna utan att först logga in. En lyckad attack skulle kunna ge möjlighet att köra skadlig kod på servern eller komma åt känslig information.

Risken beror däremot på vilken PHP-version som används och hur servern är konfigurerad. En WordPress-webbplats är alltså inte automatiskt sårbar bara för att den använder PHP.

Dessa PHP-versioner behöver kontrolleras

Den 21 oktober publicerades nya säkerhetsuppdateringar som åtgärdar bristerna.

Företag som använder någon av dessa versionsserier behöver säkerställa att den korrigerade versionen, eller en senare säker version, verkligen är installerad.

För PHP 8.1 och äldre versioner är situationen mer komplicerad. De får inte längre ordinarie säkerhetsuppdateringar från PHP-projektet, men vissa Linuxdistributioner och driftleverantörer erbjuder egna korrigeringar.

Det går därför inte alltid att avgöra säkerhetsläget enbart genom versionsnumret. Den som använder en äldre installation måste kontrollera om leverantören faktiskt har åtgärdat säkerhetsbristerna.

Den officiella informationen finns i PHP-projektets säkerhetsmeddelande.

Så kontrollerar du företagets webbplats

För många mindre företag är webbhotellet eller den externa IT-leverantören den viktigaste kontakten. Det är ofta där PHP-versionen hanteras.

Det finns ändå flera kontroller som webbplatsägare själva kan göra.

1. Kontrollera PHP-versionen. I WordPress finns informationen normalt under Verktyg, Webbplatshälsa, Information och Server. Webbhotellets kontrollpanel kan också visa vilken version som används.

2. Kontrollera att uppdateringen är installerad. Det räcker inte att uppdatera WordPress, teman eller tillägg. De aktuella bristerna finns i PHP och kräver att servermiljön åtgärdas.

3. Se över externa tjänster. Företagets webbshop, betalningslösning, bokningssystem eller kundportal kan ligga hos olika leverantörer. Be respektive leverantör bekräfta att berörda installationer är skyddade.

4. Begränsa åtkomsten om uppdatering inte är möjlig. En sårbar tjänst som kan nås direkt från internet innebär större risk. Tillfällig avstängning eller begränsad åtkomst kan vara nödvändig tills problemet är åtgärdat.

5. Undersök misstänkt aktivitet. Eftersom försök har observerats redan före offentliggörandet bör företag med sårbara system även kontrollera loggar och andra tecken på obehörig aktivitet.

Efter en uppdatering behöver verksamheten testa att viktiga funktioner fortfarande fungerar, exempelvis kundinloggning, betalningar och beställningar.

Svenska CERT-SE har publicerat en säkerhetsvarning om PHP-sårbarheterna och rekommenderar skyndsamma åtgärder.

Finland stängde myndighetstjänster i förebyggande syfte

Säkerhetshotet fick omedelbara konsekvenser i Finland.

Den 21 oktober började statens IT-servicecenter Valtori begränsa tillgången till flera offentliga webbtjänster. Bland de berörda fanns tjänster hos Lantmäteriet, Riksarkivet, Meteorologiska institutet och rättsväsendet.

Beslutet fattades innan de nya säkerhetsuppdateringarna fanns tillgängliga. Myndigheterna bedömde att det var säkrare att tillfälligt begränsa åtkomsten än att fortsätta driva potentiellt sårbara tjänster öppet mot internet.

Valtori har betonat att avbrotten var förebyggande och inte orsakades av något konstaterat dataintrång.

Arbetet med att återställa tjänsterna fortsatte den 22 oktober. Enligt Valtori kunde det ta dagar eller veckor innan alla system fungerade normalt, eftersom uppdateringarna måste testas och flera tjänster är beroende av varandra.

Även tjänster som inte själva använde PHP påverkades indirekt när säkerhetsåtgärder störde kommunikationen mellan olika system.

Det visar hur ett säkerhetsproblem i en del av den digitala infrastrukturen kan få betydligt större konsekvenser än själva sårbarheten.

Banker och flygbolag har också begränsat tjänster

Förebyggande säkerhetsåtgärder har även vidtagits utanför Europa.

I Japan påverkades bland annat digitala tjänster hos banken Mitsubishi UFJ, finanskoncernen Nomura, flygbolaget ANA och landets skattemyndighet. Även franska telekombolaget Orange begränsade tillgången till vissa tjänster.

Att en organisation stänger eller begränsar en tjänst är dock inte bevis för att någon lyckats ta sig in i dess system.

Det finns fungerande angreppsmetoder som säkerhetsforskare har demonstrerat i testmiljöer, men i det tillgängliga underlaget finns inga bekräftade uppgifter om lyckade intrång hos de namngivna organisationerna.

Driftstopp kan bli dyrt även utan dataintrång

För företag är den ekonomiska risken större än enbart möjligheten att kunduppgifter stjäls.

En webbutik som behöver stängas kan förlora försäljning. Ett bokningssystem som ligger nere kan stoppa nya affärer. Företag kan dessutom behöva lägga pengar på akut IT-support, säkerhetsgranskning och återställning.

Även verksamheter som själva är skyddade kan påverkas om viktiga leverantörer eller gemensamma digitala tjänster får problem.

Det finns ännu inget tillförlitligt underlag för att beräkna de samlade ekonomiska förlusterna från den aktuella PHP-krisen.

Händelsen illustrerar samtidigt ett bredare problem för näringslivet: kritiska säkerhetsbrister kan kräva omedelbara investeringar och driftbeslut även när inget intrång har bekräftats. Frågan om företagens beredskap är inte ny, vilket också framgår av en tidigare genomgång av företagens sårbarhet för cyberattacker.

För svenska verksamheter är den viktigaste åtgärden nu att få besked om vilka PHP-versioner som används, om säkerhetskorrigeringarna är installerade och vem som ansvarar för systemen.

Att webbplatsen fungerar som vanligt är inte i sig ett bevis för att den är säker.