Den 21 oktober 2026 offentliggjordes två allvarliga sårbarheter i PHP (CVE-2026-109618 och CVE-2026-109619), som också kallas “php2shell”. Alla våra servrar är nu uppdaterade, och PHP 7.4 och alla nyare versioner är åtgärdade.
Du behöver inte göra något.
Vad handlar det om?
PHP är det programmeringsspråk som bland annat WordPress, WooCommerce och Joomla är byggda i, och som de flesta webbplatser på ett webbhotell körs på.
De två sårbarheterna kan göra det möjligt för en angripare att köra sin egen kod på en webbserver utan att logga in. Felet finns i PHP självt och inte i ett visst CMS eller en viss plugin. En webbplats kunde alltså vara utsatt, även om dess egen kod var helt uppdaterad och säker. PHP-projektet bedömer båda sårbarheterna som kritiska och uppmanar alla att uppdatera direkt.
Det här har vi gjort
- Innan rättelserna var klara satte vi in tillfälliga skyddsåtgärder mot de kända angreppsmetoderna på alla våra servrar.
- Samma dag som PHP-projektet släppte rättelserna installerade vi dem. Kl. 18.16 körde alla våra servrar de åtgärdade versionerna.
- Efteråt tog vi bort de tillfälliga skyddsåtgärderna igen på de åtgärdade versionerna, så att allt körs som vanligt.
Vilka PHP-versioner är åtgärdade?
| PHP-version | Status |
|---|---|
| 8.2, 8.3, 8.4 och 8.5 | Åtgärdad: uppdaterad till de senaste officiella versionerna |
| 7.4, 8.0 och 8.1 | Åtgärdad: rättelsen har förts över till din version |
| 7.3 och äldre | Extra skydd är aktiverat, men det finns ingen officiell rättelse |
Använder du PHP 7.4, 8.0 eller 8.1? De versionerna underhålls inte längre av PHP-projektet. Eftersom sårbarheterna är så allvarliga har PHP-projektet ändå tagit fram en rättelse för dem, och den har vi installerat. Rättelsen har förts över till din befintliga version, så versionsnumret kan se oförändrat ut, men din webbplats är skyddad.
Använder du PHP 7.3 eller äldre? För så gamla versioner finns ingen rättelse. Vi har behållit det extra skyddet, men det kan inte ersätta en rättelse, och vi rekommenderar starkt att du byter till en nyare version.
Har du läst om sårbarheterna i media?
Sårbarheterna har fått mycket uppmärksamhet, och det ges råd till alla som har en webbplats. Här är vad råden betyder för dig som kund hos Simply.com.
Använder min webbplats PHP?
Har du ett webbhotell hos oss och din webbplats är byggd med till exempel WordPress, WooCommerce eller Joomla, så använder den PHP. Du kan se vilken PHP-version den använder i vår kontrollpanel.
Behöver jag uppdatera PHP själv eller stänga ner min webbplats?
Nej. Det är vi som uppdaterar PHP på våra servrar, och det är redan gjort. Du behöver inte stänga ner din webbplats.
Behöver jag kontrollera om någon har varit inne på min webbplats?
Det är alltid bra att hålla koll på sin webbplats. Du kan hämta webbserverns loggfiler i vår kontrollpanel. Se hur i vår guide om loggfiler. Ser du innehåll, filer eller användare som du inte har skapat själv, eller är du osäker, kontakta vår support.
Kom också ihåg att hålla ditt CMS, dina plugins och dina teman uppdaterade. Det skyddar mot de allra flesta attacker, även sådana som inte har med PHP självt att göra.
Behöver jag göra något?
Nej, du behöver inte göra något.
Vi rekommenderar dock alltid att använda en PHP-version som PHP-projektet fortfarande underhåller, alltså PHP 8.2 eller nyare. Bara de versionerna får löpande säkerhetsrättelser. Du kan själv byta PHP-version i vår kontrollpanel. Se hur i vår guide om PHP-versioner. Ta gärna en backup först och kontrollera din webbplats efteråt.
Följ med
Vi har löpande uppdaterat om ärendet på vår serverstatussida. Där kan du också alltid följa driften av våra servrar.
Har du frågor är du välkommen att kontakta vår support.
