OpenAI har medverkat till att hitta kritiska säkerhetshål i PHP, tekniken bakom WordPress och många andra webbplatser. Den 21 oktober 2026 släpptes rättningar för två sårbarheter som kan låta en angripare köra kod på en server utan att logga in. För företag med en WordPress-hemsida är det därför dags att kontrollera serverns PHP-uppdatering.
Vill ni kontrollera er hemsida? Vi har skapat en kostnadsfri säkerhetskontroll som skannar er WordPress-hemsida och ser om ni är drabbade, Testa er hemsida här.
Nyheten har beskrivits som att OpenAI har hittat ett hål i ”70 procent av internet”. Det behöver förklaras. En utbredd teknik har allvarliga brister, men det betyder inte att 70 procent av alla webbplatser har blivit hackade. Här går vi igenom vad som är bekräftat och vad ni kan göra nu. Uppgifterna är kontrollerade den 22 oktober 2026.
Vad hittade OpenAI och forskarna?
Enligt OpenAI:s redogörelse hittade säkerhetsföretaget Calif en kritisk brist med hjälp av GPT-5.6 Sol inom initiativet Patch the Planet. Wiz upptäckte och rapporterade också båda sårbarheterna oberoende. PHP:s utvecklare ledde arbetet med rättningarna, med stöd från forskare och säkerhetsleverantörer.
Bristerna kallas gemensamt PHP2Shell. De finns i själva PHP-motorn och har beteckningarna CVE-2026-109618 och CVE-2026-109619. De rör fel i hur PHP hanterar minne och internt tillstånd mellan förfrågningar. PHP:s egna säkerhetsrapporter beskriver hur detta kan leda till att obehörig kod körs på servern.
Det handlar alltså om AI-stödd säkerhetsforskning och en samordnad rättning. Upptäckten är inte ett besked om att OpenAI har brutit sig in på alla webbplatser som använder PHP.
Vad betyder siffran 70 procent?
W3Techs mätning för den 21 oktober 2026 anger att PHP används av 69,3 procent av de webbplatser där tjänsten kan identifiera programmeringsspråket på serversidan. Det är bakgrunden till den avrundade siffran 70 procent.
Statistiken beskriver användningen av PHP. Den mäter varken hur många sajter som har angripits eller hur många som fortfarande saknar rättningen. För att bedöma en enskild hemsida behöver ni veta vilken PHP-version som faktiskt körs och vilka säkerhetsrättningar webbhotellet har installerat.
Så kan en WordPress-hemsida beröras
WordPress använder PHP på servern. Därför kan en hemsida vara berörd även om WordPress, temat och alla tillägg har uppdaterats. I sitt säkerhetsbesked om PHP förklarar WordPress att dessa brister inte kräver en ny WordPress-version. PHP-installationen behöver rättas separat, vanligtvis av webbhotellet.
Wiz har demonstrerat angrepp mot testinstallationer av bland annat WordPress, Drupal och Joomla. Beroende på angreppsväg kan följden bli kodkörning eller läckage av känsliga uppgifter från serverns minne. Att samma PHP-brist kan finnas bakom flera system förklarar varför nyheten berör så många verksamheter samtidigt.
För ert företag är den första frågan därför konkret: har den PHP-installation som driver hemsidan fått rättningen? En vanlig inloggning i WordPress eller en välfungerande startsida ger inget svar på den frågan.
Vilka PHP-versioner innehåller rättningen?
PHP-projektets säkerhetsbesked den 21 oktober anger följande första rättade versioner. Använd en version med rättningen inom en stödd gren, eller en senare säkerhetsuppdatering.
| PHP-gren | Första rättade version |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Att bara se ”PHP 8” eller ”PHP 8.3” räcker inte. Hela versionsnumret spelar roll. Linuxdistributioner och leverantörer kan också ha fört in rättningen i sina egna paket utan att numret ser ut som i tabellen. Be då om bekräftad patchstatus för båda CVE-numren.
PHP 8.1 och äldre har inte längre ordinarie säkerhetsstöd från PHP-projektet. Vissa leverantörer erbjuder egna rättningar. En sådan lösning behöver verifieras hos leverantören, samtidigt som ni planerar övergången till en stödd PHP-gren.
Det här bör ni kontrollera nu
- Ta reda på rätt PHP-version. I WordPress finns den under Verktyg > Webbplatshälsa > Info > Server. Kontrollera varje hemsida för sig, även om flera ligger hos samma webbhotell.
- Kontakta webbhotellet. Fråga om PHP-installationen är rättad för CVE-2026-109618 och CVE-2026-109619. Be om en tidsplan om arbetet återstår.
- Förbered och verifiera uppdateringen. Ta backup av filer och databas inför ändringar. Testa viktiga funktioner som kontaktformulär och köpflöden efteråt, särskilt vid byte av PHP-gren.
- Bekräfta vad webbplatsen faktiskt kör. Den PHP-version som visas i kommandoraden kan skilja sig från webbserverns version. Be driftansvarig verifiera den uppdaterade installationen och berörda processer.
WordPress officiella vägledning visar var versionen finns och uppmanar sajtägare att följa upp webbhotellets uppdatering. Spara gärna leverantörens besked tillsammans med er driftinformation. Då vet ni vem som kontrollerade vad och när.
Om ni inte kan uppdatera direkt
Storbritanniens National Cyber Security Centre uppmanar organisationer att identifiera sina PHP-system, prioritera internetanslutna installationer och övervaka dem för misstänkt aktivitet. Om bristerna inte kan åtgärdas omedelbart rekommenderar myndigheten att man överväger att ta systemet offline tills risken har hanterats.
Ta det beslutet tillsammans med webbhotellet eller er driftansvariga, utifrån hur hemsidan används och vad som exponeras. Cloudflare beskriver skydd i sin webbapplikationsbrandvägg, men ett sådant skydd behöver rätt konfiguration och täckning. Det ersätter inte arbetet med att installera PHP-rättningen.
Har ni sett misstänkta filer, okända administratörskonton eller andra tecken på intrång behöver det utredas separat. Att uppdatera en sårbar komponent visar inte i sig om någon redan hunnit utnyttja den.
Börja med vårt kostnadsfria WordPress-test
I Getonnets WordPress-test anger ni webbadressen och den e-postadress som ska få rapporten. Kontrollen läser det som är offentligt synligt: WordPress-markörer, eventuell PHP-version, HTTPS och vissa säkerhetsinställningar i serverns svar.
Om servern visar PHP-versionen jämför testet den med de publicerade rättningarna. Många webbhotell döljer versionsnumret. Då kan testet inte fastställa det, och ni behöver kontrollera webbhotellets uppgifter eller WordPress webbplatshälsa.
Testet loggar inte in och försöker inte utnyttja säkerhetshålen. Resultatet är en första kontroll utifrån, inte ett bevis på att hela installationen är säker. Använd rapporten som underlag för nästa samtal med den som ansvarar för er hemsida.
AI gör löpande säkerhetsarbete viktigare
PHP-fallet visar hur AI kan hjälpa forskare att hitta svårupptäckta brister i programvara som många är beroende av. OpenAI beskriver också risken att samma förmågor hjälper angripare att snabbare ta fram angreppsverktyg. Samordningen mellan forskare, utvecklare och driftleverantörer blir därför en viktig del av skyddet.
För ett företag som använder WordPress börjar arbetet med tydligt ansvar för driften: vem tar emot säkerhetsbesked, vem uppdaterar servern och vem kontrollerar resultatet? En hemsida behöver förvaltning även när innehållet och utseendet står still.
Källor och aktuell information
- OpenAI: Patch the Planet och den samordnade PHP-rättningen.
- PHP: säkerhetsbesked och rättade versioner.
- PHP: CVE-2026-109618 och CVE-2026-109619.
- WordPress: Critical PHP Security Release.
- Wiz: teknisk genomgång av PHP2Shell.
- NCSC: Critical security issue affecting PHP.
- W3Techs: PHP:s användning på webben.
