Det er funnet to alvorlige sikkerhetsfeil i PHP, som mange nettsider er bygget på. Vi har installert sikkerhetsoppdateringen for alle PHP-versjoner på webhotell, også på cPanel-serverne våre. Har du webhotell hos oss, trenger du ikke gjøre noe.
Hva har skjedd?
PHP er programmeringsspråket som får mange nettsider til å fungere, blant annet WordPress-sider. Feilene gjorde det mulig for en angriper å kjøre sin egen kode på en server uten å måtte logge inn.
Feilen ligger i PHP selv, ikke hos en bestemt leverandør. Derfor gjaldt den PHP-baserte nettsider og applikasjoner over hele verden. Den eneste fullstendige løsningen er å oppdatere PHP.
PHP-prosjektet varslet om feilene 20. oktober og publiserte sikkerhetsoppdateringen ettermiddagen 21. oktober. Feilene heter CVE-2026-109618 og CVE-2026-109619 og har alvorlighetsgrad 9,2 av 10 (CVSS).
Hva har vi gjort?
Vi satte inn midlertidige beskyttelsestiltak før oppdateringen kom, og installerte den så snart den var tilgjengelig for plattformene våre.
Tidslinje:
Grå linjer viser når PHP-prosjektet og leverandøren vår publiserte oppdateringene.
VPS: Har du VPS hos oss, har du selv ansvaret for programvaren på serveren, også PHP. Sørg for at PHP er oppdatert, og start PHP-tjenestene på nytt etterpå. De rettede versjonene fra PHP er 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Bruker du PHP-pakker fra operativsystemet, kan versjonsnummeret være lavere selv om rettelsen er med. Det samme gjelder andre servere og applikasjoner du drifter selv som bruker PHP.
Kunne du merke noe?
Mens tiltakene var på, fra midt på dagen 21. oktober til natt til 22. oktober, kunne du merke dette på webhotell (gjelder ikke cPanel):
- Filopplasting: Noen opplastinger via nettsiden ble stoppet, for eksempel bilder, dokumenter og vedlegg i skjemaer. Du så heller ikke fremdriften mens en fil lastet opp.
- Kalender og kontakter: De synkroniserte ikke til mobil og e-postprogrammer, og de var heller ikke tilgjengelige i webmail på webmail.proisp.no og webmail.dinhost.io. E-post virket som normalt.
Da vi installerte phpMyAdmin på nytt 22. oktober, var det nede i rundt fem minutter. Var du innlogget, måtte du logge inn igjen.
På cPanel-serverne merket du ingenting. Brannmurreglene påvirket ikke nettsidene.
Hva må du gjøre?
Har du webhotell eller Utvidet PHP-støtte hos oss, trenger du ikke gjøre noe for å være beskyttet mot disse feilene. Vi har oppdatert PHP for deg, uansett hvilken PHP-versjon nettsiden din bruker.
Har du VPS eller andre servere og applikasjoner du drifter selv, må du selv oppdatere PHP der. Se punktet om VPS over.
Vi anbefaler likevel at du holder PHP-versjonen oppdatert:
- PHP 8.3 eller nyere: Du trenger ikke gjøre noe. Versjonen din får fortsatt sikkerhetsoppdateringer fra PHP.
- PHP 8.2: Du trenger ikke gjøre noe nå. PHP 8.2 får sikkerhetsoppdateringer fra PHP fram til 31. desember 2026. Etter det får versjonen sikkerhetsoppdateringer gjennom Utvidet PHP-støtte. Vi anbefaler likevel at du bytter til PHP 8.3 eller nyere.
- PHP 8.1 eller eldre: Vi har installert sikkerhetsoppdateringen også for disse versjonene, gjennom Utvidet PHP-støtte.
Før du bytter, sjekk at tema, utvidelser og eventuell egen kode støtter den nye versjonen. Ellers kan nettsiden få feil etter byttet.
Slik bytter du PHP-versjon:
- Webhotell: Hvordan endrer jeg PHP-versjon?
- cPanel-webhotell: Sette PHP-versjon på webhotell med cPanel. Velg «Jeg har ikke blitt migrert ennå» når siden spør.
Vær klar over at det ikke hjelper mot denne feilen å oppdatere WordPress, temaer eller utvidelser. Det er bare oppdatert PHP som tetter hullet.
Til deg som bruker sikkerhetsskannere på cPanel: PHP-pakkene på cPanel-serverne kommer fra leverandøren vår, CloudLinux. Sikkerhetsrettelsen er lagt inn i den PHP-versjonen som allerede var installert. Versjonsnummeret kan derfor vise en lavere versjon enn PHP-prosjektets egne rettede versjoner, for eksempel 8.4.26 i stedet for 8.4.27. Rettelsen for både CVE-2026-109618 og CVE-2026-109619 er likevel installert.
Sikkerhetsskannere som bare ser på versjonsnummeret, kan derfor feilaktig melde at nettsiden er sårbar. CloudLinux forklarer dette i oppdateringen sin 22. oktober kl. 16.31.
Har du spørsmål?
Trenger du hjelp, finner du kontaktinformasjon til kundeservice her. Våre lokale eksperter i Tønsberg hjelper deg gjerne.