Kort svar: 21. oktober 2026 slapp PHP sikkerhetsoppdateringer for to kritiske sårbarheter (CVE-2026-109618 og CVE-2026-109619) som kan la en angriper kjøre kode på serveren uten å logge inn. Samme uke ble to mye brukte WordPress-verktøy misbrukt i angrep: Rank Math PRO og UpdraftCentral. Sjekk at nettsiden kjører PHP 8.2.35, 8.3.36, 8.4.27 eller 8.5.12 (eller en oppdatert pakke fra leverandøren), oppdater alle utvidelser, og se etter ukjente administratorer og utvidelser.
Oktober er Nasjonal sikkerhetsmåned, og den siste uka har vist hvorfor. For en liten bedrift med WordPress-side eller WooCommerce-butikk er det lett å tenke at dette er serverleverandørens problem. Delvis stemmer det – men noen av sjekkene kan bare du som eier av nettsiden gjøre. Under går vi gjennom hva som skjedde, hvem som er berørt, og en konkret sjekkliste.
Hva er de kritiske PHP-sårbarhetene NSM varslet om?
PHP er programmeringsspråket som WordPress, WooCommerce og svært mange andre nettsider kjører på. Nasjonal sikkerhetsmyndighet (NSM) varslet 21. oktober om to sårbarheter som begge «lar en ikke-autentisert aktør kjøre vilkårlig kode over internett». NSM anbefaler alle systemeiere å installere oppdateringene snarest mulig.
- Rettede versjoner: PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, ifølge PHP Foundation.
- Alvorlighet: CVSS 9,2 for hver av dem, ifølge CERT-EU.
- Hvem er berørt: alle PHP-installasjoner som svarer på nettforespørsler, også PHP-FPM, php-cgi og LiteSpeed. Apache med mod_php regnes som mest utsatt.
- Ingen fullgod omvei: php.net skriver at det ikke finnes komplette mitigerende tiltak, og at oppdatering er det eneste trygge valget.
Da NSM oppdaterte varselet 23. oktober, var etaten ikke kjent med at sårbarhetene var aktivt utnyttet. NSM skriver samtidig at det finnes påstått utnyttelseskode på nettet, og antar at fungerende kode vil komme innen kort tid.
Hvordan sjekker jeg hvilken PHP-versjon nettsiden min kjører?
I WordPress går du til Verktøy > Nettstedshelse (Site Health), velger fanen Info og åpner Server. Der står PHP-versjonen. Har du tilgang til kontrollpanelet hos leverandøren, vises versjonen som regel også der.
Ett forbehold: mange Linux-distribusjoner og hostingplattformer legger inn sikkerhetsrettelser i egne pakker uten å endre versjonsnummeret. Ifølge CERT/CC fikk mange distribusjoner rettelsene på forhånd. Viser nettsiden et lavere nummer, er det derfor ikke sikkert at den er sårbar – men da må du spørre leverandøren om pakken er rettet.
Hva om nettsiden kjører PHP 8.1 eller eldre?
Da er det på tide å oppgradere. PHP-prosjektet gir ikke lenger offisielle oppdateringer for 8.1 og eldre. CERT/CC skriver at det kun finnes begrensede rettelser i kildekode for 7.4, 8.0 og 8.1, og anbefaler ellers å gå over til en støttet versjon. Test gjerne oppgraderingen på en kopi av nettsiden først, særlig hvis du har eldre temaer og utvidelser.
Hva skjedde med Rank Math PRO?
Rank Math er en populær SEO-utvidelse for WordPress. Ifølge BleepingComputer inneholdt noen nedlastinger av Rank Math PRO versjon 3.0.123 fra leverandørens egen nettside skadevare som la inn skjulte bakdører. Det gjaldt nedlastinger mellom 15. oktober kl. 22.02 og 16. oktober kl. 09.12 norsk tid. Gratisversjonen fra WordPress.org var ikke berørt, og den rene versjonen heter 3.0.124.
Det viktigste rådet: å deaktivere eller oppdatere utvidelsen fjerner ikke en eventuell infeksjon. Har du installert og aktivert den berørte versjonen, bør nettsiden behandles som kompromittert. Leverandøren anbefaler gjenoppretting fra en ren sikkerhetskopi og bytte av alle passord, nøkler og «salts». Et kjent tegn er administratorkontoer med brukernavn som begynner på wpsupport_.
Hva betyr UpdraftCentral-hendelsen for meg som bruker UpdraftPlus?
UpdraftPlus er en av de mest brukte backup-utvidelsene for WordPress. TeamUpdraft opplyser at uvedkommende fikk tilgang til teamupdraft.com 17.–18. oktober, og at kundedatabasen trolig ble lest – inkludert tilkoblingsnøkler for skytjenesten UpdraftCentral. Angriperen brukte tilkoblingen til å opprette administratorkontoer og installere ondsinnede utvidelser på tilkoblede nettsider.
UpdraftPlus 1.26.13 (gratis) og 2.26.13 (Premium) kobler fra de gamle nøklene automatisk. TeamUpdraft ber brukere sjekke nettsidene for uventede brukere – de ser særlig mange ukjente kontoer med rollen «redaktør» – og for ukjente utvidelser. Finner du noe mistenkelig, anbefaler de gjenoppretting fra en sikkerhetskopi tatt før 17. oktober. Selvhostet UpdraftCentral og selve UpdraftPlus-nedlastingene var ikke berørt.
Hvilke andre WordPress-utvidelser bør oppdateres nå?
Oktober har vært travel også ellers. Et utvalg som er relevant for småbedrifter og nettbutikker:
- LiteSpeed Cache før 7.9.2: tre sårbarheter, rettet i 7.9.2. De to alvorligste krever bestemte innstillinger og at kommentarer publiseres. LiteSpeed anbefaler alle å oppdatere, og å slå på godkjenning av kommentarer hvis du ikke kan oppdatere med en gang.
- Bricksforge til og med 3.1.8.9: en sårbarhet med CVSS 10 som lar hvem som helst laste opp og kjøre kode. Ifølge The Hacker News har Patchstack sett aktiv utnyttelse siden 7. oktober.
- WPC Product Bundles for WooCommerce og Ninja Forms: sårbarheter som ifølge samme kilde er brukt til å legge inn bakdører og skjulte administratorer. Rettet i henholdsvis 8.6.7 og 3.15.4 – men oppdateringen fjerner ikke en infeksjon som allerede er der.
Bruker du WooCommerce, bør du også ha med deg sikkerhetsoppdateringen i WooCommerce 11.2.
Sjekkliste: dette gjør du denne uka
- Ta en sikkerhetskopi av filer og database før du endrer noe, og sjekk at du har eldre kopier fra før 15. oktober.
- Sjekk PHP-versjonen under Nettstedshelse, og spør leverandøren om serveren har fått rettelsene fra 21. oktober.
- Oppdater WordPress, tema og alle utvidelser. Slett utvidelser du ikke bruker – også deaktiverte utvidelser kan angripes.
- Gå gjennom brukerlisten. Fjern administratorer og redaktører du ikke kjenner igjen, og se særlig etter brukernavn som begynner på wpsupport_.
- Se over utvidelseslisten, også fanen for «Must-Use»-utvidelser hvis den vises. Ukjente utvidelser skal bort.
- Bytt passord for alle administratorer, og bruk tofaktorinnlogging.
- Ved tegn på innbrudd: gjenopprett fra en ren kopi i stedet for å «rydde litt». Kobles nettbutikken mot kassesystemet, bør du også fornye API-nøklene for integrasjonen.
Har du allerede funnet noe mistenkelig, kan du lese hvordan vi renset et hacket WordPress-nettsted, eller gå rett til akutthjelp når nettsiden er hacket.
Hvem har ansvaret: meg eller hostingleverandøren?
På delt hosting og webhotell er det normalt leverandøren som oppdaterer PHP på serveren, mens du som eier har ansvaret for WordPress, tema, utvidelser og brukere – med mindre avtalen sier noe annet. Er du usikker på hva som er inkludert, har vi skrevet om hva et webhotell med drift faktisk dekker.
Vil du slippe å følge med på dette selv? Vi tilbyr WordPress-hosting og WooCommerce-hosting der drift og oppdateringer er en del av tjenesten, i tillegg til vanlig webhotell. Har du nettbutikk koblet mot PCKasse, kan du lese mer om vår PCK-integrasjon.
Usikker på om nettsiden din er oppdatert? Ta kontakt med oss, så hjelper vi deg å sjekke PHP-versjon, utvidelser og brukere – og å rydde opp hvis noe er galt.
Ofte stilte spørsmål
Er nettsiden min sårbar for PHP-hullene CVE-2026-109618 og CVE-2026-109619?
Alle PHP-installasjoner som svarer på nettforespørsler, er i utgangspunktet berørt hvis de ikke er oppdatert. Rettede versjoner er PHP 8.2.35, 8.3.36, 8.4.27 og 8.5.12, eller en oppdatert pakke fra leverandøren. Spør hostingleverandøren hvis du er usikker.
Hvordan finner jeg PHP-versjonen i WordPress?
Gå til Verktøy > Nettstedshelse, velg Info og åpne Server. Der står PHP-versjonen nettsiden kjører på.
Holder det å oppdatere Rank Math PRO hvis jeg installerte versjon 3.0.123?
Nei. Hvis den berørte versjonen ble aktivert, fjerner ikke oppdatering eller deaktivering skadevaren. Gjenopprett fra en ren sikkerhetskopi, og bytt passord, nøkler og salts.
Må jeg gjøre noe hvis jeg bruker UpdraftPlus uten UpdraftCentral?
Oppdater til 1.26.13 eller 2.26.13 eller nyere. TeamUpdraft ber også Premium-brukere som aldri har brukt UpdraftCentral, om å se etter uventede utvidelser og administratorer. Har du konto på teamupdraft.com, bør du bytte passord.
Er PHP-sårbarhetene aktivt utnyttet?
Per NSMs oppdatering 23. oktober var etaten ikke kjent med aktiv utnyttelse, men NSM forventer at fungerende utnyttelseskode kommer snart. Derfor bør du ikke vente med å oppdatere.