Hur du skyddar din hemsida från säkerhetsbuggar

Säkerhetshål i hemsidor upptäcks hela tiden. Du skyddar dig inte genom att välja ett verktyg som aldrig får några hål, för något sådant finns inte. Du skyddar dig genom att se till att hemsidan uppdateras så fort ett hål har täppts till. Det senaste exemplet är PHP2Shell, ett allvarligt säkerhetshål i PHP, som blev känt den 21 oktober 2026.

Det senaste exemplet: säkerhetshålet i PHP

PHP är ett programspråk som många hemsidor är byggda med. Enligt W3Techs används det av 69,3 % av alla webbplatser där man kan se vilket språk servern kör. Säkerhetshålet kallas PHP2Shell. Egentligen är det två fel: CVE-2026-109618 och CVE-2026-109619.

Vad var felet, med enkla ord?

Tänk dig att hemsidan är en butik och servern är butiksbiträdet. Biträdet gör bara det som står i instruktionerna: visa en sida, ta emot ett formulär, skicka ett mejl. Felet i PHP gjorde det möjligt för en främling att lura biträdet. Genom att skicka ett noga utformat meddelande kunde främlingen få biträdet att följa främlingens instruktioner i stället för butikens. Främlingen behövde inte logga in eller känna till något lösenord.

Felet sitter i själva PHP, inte i koden för den enskilda hemsidan. Säkerhetsföretaget Wiz, som hittade felen, visade att attacken fungerade mot WordPress, Drupal och Joomla. De påpekade också att den inte är begränsad till just de plattformarna.

Vad kan hända om man har det?

Den som tar sig in kan göra ungefär allt som hemsidan själv kan göra. Till exempel:

• •Ändra hemsidan, så att den visar falska erbjudanden eller skickar besökarna vidare till bedragare.
• •Stjäla uppgifter, som det kunderna skrivit i kontaktformulär eller det som ligger i en kunddatabas.
• •Gömma skadlig kod som smittar besökarnas datorer. Då kan Google varna för din sajt i sökresultaten.
• •Använda servern för annat, till exempel för att skicka skräppost eller attackera andra sajter.

Det här är inte bara teori. Den amerikanska myndigheten CISA uppmanade alla att uppdatera omedelbart.

Använder min hemsida PHP?

Det beror på vad den är byggd med. Alla de här populära plattformarna kräver PHP enligt sin egen dokumentation:

• •WordPress är världens i särklass största plattform för hemsidor. Den används av 39,6 % av alla webbplatser och kräver PHP.
• •WooCommerce, webbutiken till WordPress, kräver PHP.
• •Joomla kräver PHP.
• •Drupal kräver PHP.
• •PrestaShop, en plattform för webbutiker, kräver PHP.

Har du en sådan sajt hos ett vanligt webbhotell är det webbhotellet som uppdaterar PHP på servern. Du eller din webbyrå uppdaterar plattformen, temat och tilläggen.

Använder du en tjänst där leverantören sköter servern åt dig, som Wix, Squarespace eller Shopify, är det leverantören som ansvarar för den här sortens uppdateringar. Där kan du inte göra något själv.

Så kontrollerar du det

• •Logga in hos ditt webbhotell och leta efter ”PHP-version” i kontrollpanelen.
• •Om du använder WordPress står versionen under Verktyg → Webbplatshälsa → Info → Server.
• •Är du osäker, fråga webbhotellets support: ”Är PHP på min server uppdaterat mot PHP2Shell?”

De rättade versionerna är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Kör sajten PHP 8.1 eller äldre får den ingen rättelse alls, eftersom de versionerna inte längre underhålls. Även 8.2 slutar få säkerhetsrättelser vid årsskiftet.

Säkerhetshål kommer alltid att komma

Det är lätt att tro att problemet är PHP. Men sådana här säkerhetshål kan upptäckas i vilket språk eller verktyg som helst. En hemsida består av en massa färdiga delar, till exempel ramverk, bibliotek och tillägg. Någon gång kommer det att hittas ett fel i någon av dem.

Det viktigaste är att hemsidan kan uppdateras så fort hålet har täppts till. Det är mycket lättare om den uppdateras hela tiden. En sajt som inte har uppdaterats på flera år ligger ofta många versioner efter. Då går något sönder när den uppdateras, så uppdateringen skjuts upp och hålet står öppet under tiden. En sajt som uppdateras varje vecka är bara ett litet steg efter.

Så gör jag med mina kunders hemsidor

När ett säkerhetshål som PHP2Shell blir känt behöver hemsidor uppdateras samma vecka, ibland samma dag. Men som småföretagare har du redan fullt upp med kunder, offerter och bokföring. Du hinner inte bevaka säkerhetsnyheter, och du ska inte behöva lägga en kväll på att logga in hos webbhotellet, uppdatera tillägg och hoppas att inget går sönder. Så uppdateringen blir liggande, och under tiden står hålet öppet.

Det är just det du slipper när du jobbar med mig. Hemsidorna jag bygger använder inte PHP, så PHP2Shell påverkar dem inte. Men det är inte därför de är säkra. Det beror på hur de sköts:

• •Varje vecka uppdateras alla delar som hemsidan är byggd av till den senaste versionen. Jag kontrollerar att allt fungerar innan uppdateringen går ut.
• •Säkerhetsfixar behöver inte vänta på veckouppdateringen. De kommer så fort de har släppts.
• •Det finns inga tillägg från tredje part som ligger kvar och blir gamla.

Säkerhetsuppdateringar och löpande underhåll ingår i den fasta månadskostnaden. Nästa gång ett säkerhetshål hamnar i nyheterna behöver du inte göra någonting. Det har jag redan tagit hand om.

Vanliga frågor

Är WordPress osäkert?

Nej, inte i sig. Men WordPress bygger på PHP och har ofta många tillägg, och varje del behöver uppdateras. Risken ligger i sajter som inte uppdateras. Mer om WordPress.

Hur ofta ska hemsidan uppdateras?

Helst varje vecka, och säkerhetsfixar direkt när de släpps. Ju längre det dröjer mellan uppdateringarna, desto svårare blir varje uppdatering.

Hur vet jag om min hemsida har blivit hackad?

Tecken är sidor, länkar eller användare du inte känner igen, att Google varnar för sajten eller att den plötsligt beter sig konstigt. Be din webbyrå eller ditt webbhotell titta om du är osäker.

Berörs jag av PHP2Shell om jag har Wix eller Squarespace?

Där sköter leverantören servern, så det finns inget du själv behöver eller kan uppdatera.