[{"@context":"https:\/\/schema.org\/","@type":"BlogPosting","@id":"https:\/\/blog.onlinemarketing.dk\/php-saarbarheder.html#BlogPosting","mainEntityOfPage":"https:\/\/blog.onlinemarketing.dk\/php-saarbarheder.html","headline":"PHP-s\u00e5rbarheder \u2013 er der grund til panik, eller skal vi se lidt p\u00e5 virkeligheden?","name":"PHP-s\u00e5rbarheder \u2013 er der grund til panik, eller skal vi se lidt p\u00e5 virkeligheden?","description":"To kritiske sikkerhedshuller i PHP har skabt bekymring blandt websiteejere. Men hvor stor er risikoen egentlig, og hvem har ansvaret, n\u00e5r et website ligger p\u00e5…","datePublished":"2026-10-23","dateModified":"2026-10-23","author":{"@type":"Person","@id":"https:\/\/blog.onlinemarketing.dk\/author\/admin#Person","name":"Ren\u00e9 Madsen","url":"https:\/\/blog.onlinemarketing.dk\/author\/admin","identifier":1,"description":"Jeg hedder Ren\u00e9 Madsen og grundlagde Online Marketing i 1995. Siden 1999 har jeg arbejdet professionelt med SEO og har fulgt udviklingen fra de f\u00f8rste s\u00f8gemaskiner til nutidens AI-baserede s\u00f8gning.\r\n\r\nJeg arbejder med teknisk SEO, GEO (Generative Engine Optimization), AI Discovery og digital synlighed. Gennem \u00e5rene har jeg r\u00e5dgivet b\u00e5de sm\u00e5 og store virksomheder i Danmark og internationalt med fokus p\u00e5 langsigtede l\u00f8sninger, teknisk kvalitet og dokumenterede resultater.\r\n\r\nP\u00e5 denne blog deler jeg analyser, erfaringer og historiske perspektiver fra mere end 25 \u00e5r i branchen. Mit m\u00e5l er at forklare, hvordan s\u00f8gemaskiner, AI og internettet udvikler sig \u2013 baseret p\u00e5 praktisk erfaring, dokumentation og egne erfaringer gennem branchens udvikling.\r\n\r\nVed siden af mit arbejde har jeg dyrket Kyokushin karate siden 1973 og er i dag Shihan, 5. dan. Karate har l\u00e6rt mig v\u00e6rdien af disciplin, vedholdenhed og konstant udvikling \u2013 principper, som ogs\u00e5 pr\u00e6ger mit arbejde med SEO og digital strategi.","image":{"@type":"ImageObject","@id":"https:\/\/secure.gravatar.com\/avatar\/ce65f41ecd392d9b2ef547aba58da9858a8cfb78bd54ce7a6acbffad581f31b2?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/ce65f41ecd392d9b2ef547aba58da9858a8cfb78bd54ce7a6acbffad581f31b2?s=96&d=mm&r=g","height":96,"width":96}},"publisher":{"@type":"Organization","name":"Online Marketing","logo":{"@type":"ImageObject","@id":"https:\/\/blog.onlinemarketing.dk\/wp-content\/uploads\/2017\/05\/onlinemarketing_logo_mini.gif","url":"https:\/\/blog.onlinemarketing.dk\/wp-content\/uploads\/2017\/05\/onlinemarketing_logo_mini.gif","width":600,"height":60}},"image":{"@type":"ImageObject","@id":"https:\/\/blog.onlinemarketing.dk\/wp-content\/uploads\/2026\/10\/PHP-cyberangreb-i-moerkt-serverrum.png","url":"https:\/\/blog.onlinemarketing.dk\/wp-content\/uploads\/2026\/10\/PHP-cyberangreb-i-moerkt-serverrum.png","height":941,"width":1672},"url":"https:\/\/blog.onlinemarketing.dk\/php-saarbarheder.html","about":["Internettet"],"wordCount":1503,"articleBody":"To kritiske sikkerhedshuller i PHP har skabt bekymring blandt websiteejere. Men hvor stor er risikoen egentlig, og hvem har ansvaret, n\u00e5r et website ligger p\u00e5 et almindeligt webhotel?I oktober 2026 blev der offentliggjort alvorlige sikkerhedss\u00e5rbarheder i PHP, som blandt andet benyttes af WordPress og mange andre CMS-systemer.S\u00e5rbarhederne har f\u00e5et en CVSS-score p\u00e5 9,2 ud af 10, hvilket placerer dem i den kritiske kategori. Under bestemte forhold kan fejlene give en angriber mulighed for at udf\u00f8re kode p\u00e5 en server.Men betyder det, at tusindvis af websites pludselig st\u00e5r \u00e5bne for hacking? Nej, ikke n\u00f8dvendigvis. Der er forskel p\u00e5, at en PHP-version indeholder en kendt s\u00e5rbarhed, og at s\u00e5rbarheden rent faktisk kan udnyttes p\u00e5 den enkelte server.Hvad er problemet med PHP?De aktuelle sikkerhedsfejl omfatter blandt andet CVE-2026-109618 og CVE-2026-109619. Den ene vedr\u00f8rer PHP’s h\u00e5ndtering af hukommelse, n\u00e5r en foresp\u00f8rgsel f\u00e5r systemet til at l\u00f8be t\u00f8r for tilg\u00e6ngelig hukommelse. Det kaldes Out of Memory (OOM). Under s\u00e6rlige omst\u00e6ndigheder kan PHP efterf\u00f8lgende komme til at arbejde med ugyldige hukommelsesomr\u00e5der. Det kan i v\u00e6rste fald f\u00f8re til Remote Code Execution (RCE), hvor uvedkommende f\u00e5r mulighed for at udf\u00f8re kode p\u00e5 serveren. Det er alvorligt, men det er ikke det samme som, at enhver server med en ber\u00f8rt PHP-version uden videre kan overtages. Den konkrete risiko afh\u00e6nger blandt andet af serverens konfiguration, PHP’s integrationsform og mulighederne for at fremprovokere den n\u00f8dvendige fejltilstand.De fleste websiteejere administrerer ikke deres egen serverLangt de fleste mindre og mellemstore virksomheder har deres websites liggende p\u00e5 et almindeligt webhotel. Her er det hostingudbyderen, der administrerer den underliggende server, PHP-installationerne, operativsystemet og en v\u00e6sentlig del af sikkerheden. En server kan have flere hundrede websites liggende, og kunderne kan benytte forskellige PHP-versioner. Det h\u00e5ndteres eksempelvis gennem PHP-FPM, separate brugerrettigheder og forskellige former for isolering. Det betyder ikke, at en s\u00e5rbarhed hos \u00e9n kunde automatisk giver adgang til alle andre websites p\u00e5 serveren. En korrekt opsat hostingplatform skal begr\u00e6nse mulighederne for, at et kompromitteret website p\u00e5virker andre kunder. Isolering fjerner dog ikke en s\u00e5rbarhed i PHP. Den kan begr\u00e6nse konsekvenserne af et angreb, men sikkerhedsrettelserne skal stadig installeres.Hvorfor bliver PHP ikke bare opdateret?Hvis en PHP-version indeholder en kritisk sikkerhedsfejl, hvorfor opdaterer man s\u00e5 ikke bare til den nyeste version? I praksis er det ikke altid s\u00e5 enkelt. Jeg har gennem mange \u00e5rs arbejde med websites oplevet WordPress-installationer og andre PHP-baserede CMS-systemer, hvor gamle templates, plugins og specialudviklede funktioner ikke l\u00e6ngere underst\u00f8tter nyere PHP-versioner. En opgradering kan betyde, at funktioner holder op med at virke, eller at hele websitet f\u00e5r fejl. I nogle tilf\u00e6lde er det oprindelige template ikke blevet vedligeholdt i \u00e5revis. Andre gange er et vigtigt plugin blevet opgivet af udvikleren. Det er ikke et argument for at undlade sikkerhedsopdateringer. Tv\u00e6rtimod viser det, hvorfor l\u00f8bende vedligeholdelse er n\u00f8dvendig.De gamle CMS-installationer kan v\u00e6re et st\u00f8rre praktisk problemMens der bliver skrevet om nye PHP-s\u00e5rbarheder, findes der stadig mange websites med mere almindelige sikkerhedsproblemer: CMS-installationer, som ikke er blevet opdateret i flere \u00e5r, plugins med kendte sikkerhedshuller, templates uden vedligeholdelse og specialudviklede funktioner, som ingen l\u00e6ngere har overblik over. Her kan angribere ofte benytte automatiserede v\u00e6rkt\u00f8jer til at finde og fors\u00f8ge at udnytte kendte fejl. For et konkret website kan s\u00e5danne problemer udg\u00f8re en st\u00f8rre og mere umiddelbar risiko end en ny PHP-s\u00e5rbarhed, der kr\u00e6ver s\u00e6rlige tekniske omst\u00e6ndigheder. Det afh\u00e6nger naturligvis af de konkrete s\u00e5rbarheder og servermilj\u00f8et. Et website bliver ikke automatisk sikkert, fordi PHP er opdateret, hvis resten af installationen stadig indeholder kendte sikkerhedshuller.Hvad betyder en CVSS-score p\u00e5 9,2?CVSS st\u00e5r for Common Vulnerability Scoring System og bruges til at beskrive den tekniske alvor af sikkerhedss\u00e5rbarheder. En score p\u00e5 9,2 ud af 10 betegnes som kritisk. Men scoren er ikke en beregning af sandsynligheden for, at et bestemt website bliver hacket. Den fort\u00e6ller heller ikke, at 92 procent af alle ber\u00f8rte websites kan kompromitteres. Scoren bygger p\u00e5 tekniske forhold, herunder angrebets kompleksitet, n\u00f8dvendige foruds\u00e6tninger og mulige konsekvenser. N\u00e5r risikoen for et konkret website skal vurderes, er det n\u00f8dvendigt ogs\u00e5 at se p\u00e5 serverkonfigurationen, eksponeringen og de eksisterende sikkerhedsforanstaltninger.Hvad b\u00f8r man g\u00f8re som websiteejer?F\u00f8rst b\u00f8r man unders\u00f8ge, hvilken PHP-version websitet benytter. For de aktuelle s\u00e5rbarheder er der offentliggjort rettelser i PHP 8.2.35, 8.3.36, 8.4.27 og 8.5.12. Benytter man en ber\u00f8rt version, b\u00f8r den opdateres hurtigst muligt. P\u00e5 et almindeligt webhotel kan man kontakte hostingudbyderen og f\u00e5 oplyst, om den n\u00f8dvendige sikkerhedsrettelse er installeret. Kontroll\u00e9r samtidig, om CMS-systemet, plugins og templates er opdaterede. Inden st\u00f8rre \u00e6ndringer gennemf\u00f8res, skal der v\u00e6re en fungerende sikkerhedskopi. Hvis en PHP-opgradering skaber kompatibilitetsproblemer, b\u00f8r den gamle kode opdateres eller udskiftes frem for permanent at forts\u00e6tte p\u00e5 en usikker version.FAQ \u2013 ofte stillede sp\u00f8rgsm\u00e5l om PHP-s\u00e5rbarhederEr mit website usikkert, hvis jeg bruger en \u00e6ldre PHP-version?Ikke n\u00f8dvendigvis, men \u00e6ldre PHP-versioner kan indeholde kendte sikkerhedshuller. Risikoen afh\u00e6nger af versionen, serverkonfigurationen og de installerede sikkerhedsrettelser. PHP-versioner uden sikkerhedsunderst\u00f8ttelse b\u00f8r udskiftes.Kan PHP-s\u00e5rbarheder p\u00e5virke WordPress og andre CMS-systemer?Ja. WordPress og mange andre CMS-systemer er udviklet i PHP. S\u00e5rbarheder i selve PHP-motoren kan derfor p\u00e5virke disse websites, selv om CMS-systemet og dets plugins er fuldt opdaterede.Hvem har ansvaret for PHP-opdateringer p\u00e5 et webhotel?Hostingudbyderen har normalt ansvaret for installation og vedligeholdelse af PHP p\u00e5 serveren. Websiteejeren kan dog ofte selv v\u00e6lge PHP-version og har ansvar for at sikre, at websitet er kompatibelt med en underst\u00f8ttet og sikker version.Kan en hacker f\u00e5 adgang til alle websites p\u00e5 samme server?Ikke automatisk. Professionelle hostingmilj\u00f8er benytter blandt andet brugerrettigheder og isolering mellem kunderne. En sikkerhedsfejl kan dog stadig f\u00e5 alvorlige konsekvenser, afh\u00e6ngigt af serverens ops\u00e6tning og eventuelle yderligere s\u00e5rbarheder.Hvorfor kan man ikke altid opdatere PHP uden problemer?Gamle plugins, templates og specialudviklet kode kan v\u00e6re inkompatible med nyere PHP-versioner. Derfor kan en opgradering kr\u00e6ve test og tilpasning af websitet.Er en CVSS-score p\u00e5 9,2 ensbetydende med stor risiko for hacking?Ikke n\u00f8dvendigvis for det enkelte website. CVSS beskriver s\u00e5rbarhedens tekniske alvor og mulige konsekvenser, men ikke den konkrete sandsynlighed for et vellykket angreb mod en bestemt installation.Er det nok at opdatere WordPress?Nej. WordPress-opdateringer retter ikke sikkerhedsfejl i PHP-motoren. PHP, CMS-systemet, plugins og templates skal alle vedligeholdes.Kan en firewall beskytte mod PHP-s\u00e5rbarheder?En firewall kan blokere visse angrebsfors\u00f8g og reducere eksponeringen, men den kan ikke garantere beskyttelse mod alle PHP-s\u00e5rbarheder. Installation af sikkerhedsrettelser er fortsat n\u00f8dvendig.Skal jeg opdatere PHP med det samme?Hvis din PHP-version er ber\u00f8rt af en kritisk s\u00e5rbarhed, b\u00f8r opdateringen prioriteres hurtigst muligt. Det kan v\u00e6re n\u00f8dvendigt at teste kompatibiliteten f\u00f8rst, men det b\u00f8r ikke f\u00f8re til un\u00f8dvendig uds\u00e6ttelse.Er gamle plugins en st\u00f8rre sikkerhedsrisiko end PHP-s\u00e5rbarheder?Det afh\u00e6nger af de konkrete fejl. Plugins med kendte og let udnyttelige sikkerhedshuller kan udg\u00f8re en meget direkte risiko. Kritiske PHP-s\u00e5rbarheder kan imidlertid ogs\u00e5 v\u00e6re alvorlige og skal derfor ikke nedprioriteres alene p\u00e5 grund af deres kompleksitet.Sikkerhed handler om hele installationenJeg har arbejdet med websites og s\u00f8gemaskineoptimering siden 1999 og har gennem \u00e5rene set mange forskellige servermilj\u00f8er og CMS-installationer.En ting g\u00e5r igen: Sikkerhedsproblemer opst\u00e5r ikke kun p\u00e5 grund af \u00e9n bestemt PHP-version. De opst\u00e5r ogs\u00e5, n\u00e5r vedligeholdelsen bliver fors\u00f8mt, n\u00e5r plugins ikke l\u00e6ngere opdateres, eller n\u00e5r gamle templates g\u00f8r det vanskeligt at gennemf\u00f8re n\u00f8dvendige \u00e6ndringer.De aktuelle PHP-s\u00e5rbarheder er alvorlige, og sikkerhedsrettelserne b\u00f8r installeres hurtigst muligt. Men det giver ikke mening at skabe panik uden samtidig at forklare, hvor problemerne ligger, og hvem der har mulighed for at l\u00f8se dem.Sikkerhed handler ikke kun om at reagere, n\u00e5r der kommer en kritisk advarsel. Det handler om at vedligeholde hele installationen, ogs\u00e5 n\u00e5r der ikke er nogen, der r\u00e5ber op.Fakta om forfatter og virksomhedFaglig baggrundRen\u00e9 Madsen har arbejdet professionelt med s\u00f8gemaskiner og SEO siden 1999. Han har gennem \u00e5rene arbejdet med teknisk SEO, analyse af websites, servermilj\u00f8er og vedligeholdelse af WordPress og andre PHP-baserede CMS-systemer.Artiklen bygger p\u00e5 praktiske erfaringer med drift, opdateringer, kompatibilitetsproblemer og sikkerhed p\u00e5 websites samt teknisk dokumentation om de aktuelle PHP-s\u00e5rbarheder.Kort om Online MarketingVirksomhedsnavn: Online MarketingCVR: 18930099Etableret: 1995Professionel SEO siden: 1999Officiel virksomhedsregistrering: DatacvrKilder: PHP-projektet \u00b7 PHP Security Advisory (GitHub){  \"@context\": \"https:\/\/schema.org\",  \"@type\": \"FAQPage\",  \"mainEntity\": [    {      \"@type\": \"Question\",      \"name\": \"Er mit website usikkert, hvis jeg bruger en \u00e6ldre PHP-version?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Ikke n\u00f8dvendigvis, men \u00e6ldre PHP-versioner kan indeholde kendte sikkerhedshuller. Risikoen afh\u00e6nger af versionen, serverkonfigurationen og de installerede sikkerhedsrettelser. PHP-versioner uden sikkerhedsunderst\u00f8ttelse b\u00f8r udskiftes.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Kan PHP-s\u00e5rbarheder p\u00e5virke WordPress og andre CMS-systemer?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Ja. WordPress og mange andre CMS-systemer er udviklet i PHP. S\u00e5rbarheder i selve PHP-motoren kan derfor p\u00e5virke disse websites, selv om CMS-systemet og dets plugins er fuldt opdaterede.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Hvem har ansvaret for PHP-opdateringer p\u00e5 et webhotel?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Hostingudbyderen har normalt ansvaret for installation og vedligeholdelse af PHP p\u00e5 serveren. Websiteejeren kan dog ofte selv v\u00e6lge PHP-version og har ansvar for at sikre, at websitet er kompatibelt med en underst\u00f8ttet og sikker version.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Kan en hacker f\u00e5 adgang til alle websites p\u00e5 samme server?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Ikke automatisk. Professionelle hostingmilj\u00f8er benytter blandt andet brugerrettigheder og isolering mellem kunderne. En sikkerhedsfejl kan dog stadig f\u00e5 alvorlige konsekvenser, afh\u00e6ngigt af serverens ops\u00e6tning og eventuelle yderligere s\u00e5rbarheder.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Hvorfor kan man ikke altid opdatere PHP uden problemer?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Gamle plugins, templates og specialudviklet kode kan v\u00e6re inkompatible med nyere PHP-versioner. Derfor kan en opgradering kr\u00e6ve test og tilpasning af websitet.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Er en CVSS-score p\u00e5 9,2 ensbetydende med stor risiko for hacking?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Ikke n\u00f8dvendigvis for det enkelte website. CVSS beskriver s\u00e5rbarhedens tekniske alvor og mulige konsekvenser, men ikke den konkrete sandsynlighed for et vellykket angreb mod en bestemt installation.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Er det nok at opdatere WordPress?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Nej. WordPress-opdateringer retter ikke sikkerhedsfejl i PHP-motoren. PHP, CMS-systemet, plugins og templates skal alle vedligeholdes.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Kan en firewall beskytte mod PHP-s\u00e5rbarheder?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"En firewall kan blokere visse angrebsfors\u00f8g og reducere eksponeringen, men den kan ikke garantere beskyttelse mod alle PHP-s\u00e5rbarheder. Installation af sikkerhedsrettelser er fortsat n\u00f8dvendig.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Skal jeg opdatere PHP med det samme?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Hvis din PHP-version er ber\u00f8rt af en kritisk s\u00e5rbarhed, b\u00f8r opdateringen prioriteres hurtigst muligt. Det kan v\u00e6re n\u00f8dvendigt at teste kompatibiliteten f\u00f8rst, men det b\u00f8r ikke f\u00f8re til un\u00f8dvendig uds\u00e6ttelse.\"      }    },    {      \"@type\": \"Question\",      \"name\": \"Er gamle plugins en st\u00f8rre sikkerhedsrisiko end PHP-s\u00e5rbarheder?\",      \"acceptedAnswer\": {        \"@type\": \"Answer\",        \"text\": \"Det afh\u00e6nger af de konkrete fejl. Plugins med kendte og let udnyttelige sikkerhedshuller kan udg\u00f8re en meget direkte risiko. Kritiske PHP-s\u00e5rbarheder kan imidlertid ogs\u00e5 v\u00e6re alvorlige og skal derfor ikke nedprioriteres alene p\u00e5 grund af deres kompleksitet.\"      }    }  ]}Relaterede emner:Google kan altDa logfilerne afsl\u00f8rede, at spillet havde \u00e6ndret sigAI, linkgrafen og linklossepladsenEkstrabladet har problemer med GoogleLinkbuilding uden k\u00f8bte links \u2013 hvad skal vi s\u00e5 g\u00f8re i stedet?"},{"@context":"https:\/\/schema.org\/","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"PHP-s\u00e5rbarheder \u2013 er der grund til panik, eller skal vi se lidt p\u00e5 virkeligheden?","item":"https:\/\/blog.onlinemarketing.dk\/php-saarbarheder.html#breadcrumbitem"}]}]