Den 21 oktober 2026 släppte PHP-projektet fixar för två kritiska sårbarheter som kan ge fjärrkörning av kod utan inloggning. De går under namnet PHP2Shell, som används av bland andra Cloudflare och Sansec. Censys-dashboarden (läst 27 oktober) har sett över 42,7 miljoner PHP-tjänster på en drabbad version sedan 21 oktober. Cirka 32,5 miljoner fanns kvar på en drabbad version vid senaste skanning. Siffrorna kommer från Censys löpande mätning och uppdateras varje timme. Det räknas tjänster, inte sajter, och inte bara WordPress. Men WordPress körs på PHP, så frågan berör många. Här går vi igenom vad som hänt, vem som är exponerad, hur säkerheten skiljer sig mellan WordPress och Webflow och vad du gör i dag.

Vad säger CERT-EU 2026-018?

CERT-EU:s advisory "Critical Vulnerabilities in PHP" beskriver CVE-2026-109618 och CVE-2026-109619, båda med CVSS 9,2. De kan ge fjärrkörning av kod utan autentisering. Enligt CERT-EU kan en enda oautentiserad begäran utlösa attacken innan någon applikationskod körs. Alla PHP-installationer som serverar webbförfrågningar berörs, bland annat PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. mod_php bedöms som mest riskutsatt.

Fixarna finns i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35, släppta 21 oktober. Drabbade är PHP 8.5 före 8.5.12, 8.4 före 8.4.27, 8.3 före 8.3.36 och 8.2 före 8.2.35. PHP 8.1 och äldre är end-of-life och får inga officiella säkerhetsreleaser. PHP 7.3 och äldre saknar fixar från PHP-projektet. Vissa LTS-leverantörer kan ha backportat fixar, så fråga din leverantör.

Advisoryn publicerades den 20 oktober (v1.0) och har uppdaterats två gånger: v1.1 den 21 oktober och v1.2 den 23 oktober.

En tredje sårbarhet: CVE-2026-115560

Enligt PHP-projektets advisory den 23 oktober kräver den en ovanlig kombination: appen sätter session.serialize_handler till php_binary eller php_serialize i konfigurationen, byter sedan till php under körning med ini_set() före session_start(), och session upload progress är på. Den gäller även patchade versioner, inklusive 8.5.12, och fixas i nästa reguljära release. PHP rekommenderar att session.upload_progress stängs av tills dess. Appar som aldrig ändrar serialize-hanteraren under körning kan enligt PHP behålla funktionen på. Har hosten redan gjort det för CVE-2026-109619 behövs inget mer.

Attackförsöken började före patchen

Amazons säkerhetsteam observerade exploateringsförsök redan den 17 oktober, fyra dagar före offentliggörandet, enligt AWS MadPot-bloggen. Amazon skriver att PHP2Shell nu ser "broad exploitation attempts in the wild". Cloudflares VD Matthew Prince skrev den 22 oktober att man sett tusentals försök under de tio timmarna före offentliggörandet, tiotusentals under de första 45 minuterna efter och sedan hundratusentals och nu miljontals (The Next Web, 23 okt). VulnCheck registrerade bland annat ett misslyckat försök att placera en webshell via en sessionsfil, plus en probe.

CISA, den amerikanska civila cybersäkerhetsmyndigheten, lade den 26 oktober till CVE-2026-109618 och CVE-2026-109619 i sin Known Exploited Vulnerabilities-katalog. CISA beskriver katalogen som den auktoritativa förteckningen över sårbarheter som utnyttjats i det vilda. CVE-2026-115560 är inte listad (kontrollerad 27 okt, katalog 2026.10.27). Vi har fortfarande inte hittat publicerade, bekräftade intrång hos enskilda sajter i våra källor. CISA:s tillägg innebär att utnyttjande i det vilda är dokumenterat.

Censys-siffrorna ovan är en övre gräns. Linux-distributioner backportar ofta fixar utan att höja versionsnumret, och ungefär 58 % av PHP-tjänsterna döljer sin version helt.

Varför hjälper inte en WordPress-uppdatering?

Sårbarheterna sitter i PHP-körmiljön, inte i WordPress. WordPress.org skriver: "These vulnerabilities are not specific to WordPress and affect any server that hosts a PHP application. No WordPress update is required or planned for these issues." Det som ska uppdateras är PHP hos ditt webbhotell eller på din server.

Vem är exponerad?

  • WordPress på opatchad eller EOL-PHP: exponerad, oavsett hur uppdaterade WordPress, tema och plugins är.
  • WordPress hos managed host: ofta patchat av leverantören, men be om bekräftelse.
  • Webflow: Webflows Trust Center anger att Webflows kärntjänster inte är byggda på PHP och inte påverkas, att ingen åtgärd krävs av kunder, och nämner alla tre CVE:erna (kontrollerat 26 okt).

Det gäller Webflows hosting. En gammal WordPress-blogg på en subdomän, en PHP-formulärhanterare eller äldre skript hos en annan leverantör är fortfarande exponerade.

Webflow vs WordPress: skillnaden i säkerhet

  • Patchkedja: Självhostad WordPress: PHP, webbserver, WP core, plugins, tema och databas. Webflow: Webflow patchar sin egen infrastruktur, enligt Trust Center.
  • Vem patchar PHP? Självhostad WordPress: du eller ditt webbhotell. Webflow: kärntjänsterna använder inte PHP.
  • Baslinje: Självhostad WordPress: beror på host och konfiguration. Webflow: TLS 1.2+ för alla sajter och krypterad data i vila, HSTS som standard (Webflows säkerhetssida), SOC 2 Type II och ISO 27001 (Trust Center).
  • Rörliga delar att hålla uppdaterade: Självhostad WordPress: många. Webflow: färre.

Plugins är den största riskytan i WordPress-ekosystemet. Enligt Patchstack (State of WordPress Security in 2026, som täcker 2025) upptäcktes 11 334 nya sårbarheter, 42 % fler än 2024. 91 % fanns i plugins, 9 % i teman och bara 6 i WordPress core. 46 % var inte fixade när de offentliggjordes. Medianen för tid till massutnyttjande av hårt utnyttjade sårbarheter är 5 timmar.

Vad ligger kvar hos dig på Webflow?

  • tvåfaktorsautentisering för alla redaktörer (SSO och SCIM kräver Enterprise-plan)
  • roller och behörigheter
  • egen kod och tredjepartsskript
  • DNS- och registrarsäkerhet
  • hantering av formulärdata

Webflow tar bort en stor del av patchbördan, men inte allt ansvar. Skillnaden är att det finns färre rörliga delar att patcha.

Checklista för WordPress-ägare i dag

  1. Kontrollera PHP-versionen: WordPress → Verktyg → Webbplatshälsa → Info → Server.
  2. Är den 8.1 eller äldre? Uppgradera. På 8.2–8.5 ska du upp till 8.2.35, 8.3.36, 8.4.27 eller 8.5.12 eller senare.
  3. Be hosten skriftligen bekräfta patchad PHP-build och vilken SAPI som används (mod_php är mest riskutsatt).
  4. Fråga om session.upload_progress är avstängd tills nästa PHP-release (gäller CVE-2026-115560 även på patchade versioner).
  5. Kör du egen hosting på PHP före 8.2? WordPress.org skriver att du bör överväga att ta servern offline medan du förbereder uppdateringen av PHP. Separat, och utan något versionsvillkor, skriver flera nationella cybersäkerhetsmyndigheter, bland dem UK National Cyber Security Centre, att organisationer bör överväga att ta systemet offline tills det kan åtgärdas fullt ut, om en omedelbar åtgärd inte är möjlig.
  6. Var sajten opatchad och nåbar från internet före fixen? Censys skriver i sin advisory att en sajt som var nåbar från internet och opatchad före fixen bör genomgå en kompromisskontroll, oavsett nuvarande patchstatus. Granska webbserverloggarna efter stora multipart-POST:er med fältet PHP_SESSION_UPLOAD_PROGRESS och en PHPSESSID-cookie, och inspektera PHP:s sessionskatalog efter oväntade filer. Peakhour tipsar dessutom om att kontrollera loggarna efter minnesfel och oväntade worker-avslut runt samma tid. VulnCheck registrerade ett misslyckat försök att placera en webshell via en sessionsfil, plus en probe. Osäker? Låt hosten göra kontrollen.
  7. Inventera allt PHP-baserat ni kör: subdomäner, formulärhanterare, intranät, gamla kampanjsajter.
  8. Följ CERT-EU-advisoryn, som fortsätter uppdateras.
  9. Ska sajten ändå bytas plattform? Läs vår guide Byta från WordPress till Webflow utan att tappa SEO.

Så flyttar vi din sajt till Webflow

Som Webflow-byrå arbetar vi i fem steg:

  1. Inventering av sidor, CMS-innehåll, plugins, formulär och integrationer.
  2. 301-karta där varje gammal URL pekas om för att bevara SEO-värdet.
  3. CMS-struktur där collections byggs om utifrån innehållet, inte plugin-logiken.
  4. Formulär och spårning: formulärflöden, GA4/GTM och Search Console flyttas och testas.
  5. Lansering och uppföljning: DNS-byte, kontroll av indexering och övervakning de första veckorna.

Hur du bevarar SEO vid flytten beskriver vi i Byta från WordPress till Webflow utan att tappa SEO.

Osäker på vad som körs på din sajt i dag? Starta med vår kostnadsfria SEO-audit eller hör av dig för en genomgång av din WordPress-miljö.

Vanliga frågor

Vad är PHP2Shell?

Ett namn på två kritiska sårbarheter i PHP, CVE-2026-109618 och CVE-2026-109619 (båda CVSS 9,2), som kan tillåta fjärrkörning av kod utan inloggning. Namnet används av bland andra Cloudflare och Sansec. Sårbarheten sitter i PHP, inte i WordPress eller något enskilt CMS.

Vad säger CERT-EU 2026-018?

Advisoryn beskriver sårbarheterna, drabbade PHP-versioner och åtgärder. Fixarna finns i PHP 8.2.35, 8.3.36, 8.4.27 och 8.5.12. En tredje sårbarhet, CVE-2026-115560, kräver ovanlig konfiguration och mitigeras tills nästa reguljära release.

Påverkar PHP-sårbarheten WordPress?

Indirekt. Sårbarheterna sitter i PHP-körmiljön. Enligt WordPress.org krävs ingen WordPress-uppdatering. Det som ska uppdateras är PHP hos webbhotellet eller på servern.

Vilken PHP-version är säker?

PHP 8.2.35, 8.3.36, 8.4.27 eller 8.5.12 eller senare åtgärdar de två kritiska sårbarheterna. Därutöver bör session.upload_progress vara avstängd tills nästa release. PHP 8.1 och äldre får inga officiella säkerhetsreleaser, och PHP 7.3 och äldre saknar fixar från PHP-projektet. Fråga din LTS-leverantör om backportar.

Är sårbarheterna aktivt utnyttjade?

CISA lade den 26 oktober till CVE-2026-109618 och CVE-2026-109619 i sin Known Exploited Vulnerabilities-katalog, vilket innebär att utnyttjande i det vilda är dokumenterat. Vi har inte hittat publicerade, bekräftade intrång hos enskilda sajter i våra källor.

Hur många PHP-tjänster är drabbade?

Över 40 miljoner PHP-tjänster har setts på en drabbad version sedan bevakningen började 21 oktober (Censys löpande mätning, uppdateras varje timme). Det räknas tjänster, inte sajter, och siffran är en övre gräns.

Hur vet jag om min WordPress-sajt har attackerats?

Censys skriver i sin advisory att en sajt som var nåbar från internet och opatchad före fixen bör genomgå en kompromisskontroll, oavsett nuvarande patchstatus. Granska webbserverloggarna efter stora multipart-POST:er med fältet PHP_SESSION_UPLOAD_PROGRESS och en PHPSESSID-cookie, och inspektera PHP:s sessionskatalog efter oväntade filer. Peakhour tipsar dessutom om att kontrollera loggarna efter minnesfel och oväntade worker-avslut runt samma tid. Osäker? Låt hosten göra kontrollen.

Är Webflow drabbat av PHP2Shell?

Enligt Webflows Trust Center är Webflows kärntjänster inte byggda på PHP och inte påverkade, och ingen åtgärd krävs av kunder. Trust Center nämner alla tre CVE:erna. Det gäller Webflows hosting. PHP-tjänster på annat håll är fortfarande exponerade.

Räcker det att byta till Webflow för att bli säker?

Det tar bort PHP på själva sajten och en stor del av patchbördan, men inte allt ansvar. Tvåfaktorsautentisering, roller, egen kod, DNS-säkerhet och formulärdata ligger kvar hos dig. PHP-tjänster utanför Webflow ska inventeras separat.

Uppdaterad: 27 oktober 2026. CERT-EU-advisoryn kontrolleras igen vid varje ändring.