2026-10-22

Viktig säkerhetsvarning om PHP – föreningar med egna webbplatser uppmanas att agera

Onsdagen den 21 oktober 2026 upptäcktes två kritiska säkerhetsbrister i PHP, ett programmeringsspråk som används av cirka 70 procent av världens webbplatser. Bland annat berörs samtliga sajter byggda på WordPress.

Bristerna, som fått namnet PHP2Shell, gör det möjligt för externa angripare att ta kontroll över sårbara webbplatser genom att fjärransluta och köra skadlig kod på den underliggande servern.

Med anledning av den betydande säkerhetsrisken uppmanar Svenska Läkaresällskapet (SLS) samtliga medlemsföreningar med egna webbplatser att kontrollera att deras system är uppdaterade så fort som möjligt.

Föreningar med webbplats via SLS portal (forening.sls.se)
Föreningar som använder Svenska Läkaresällskapets gemensamma webbportal berörs inte av den aktuella säkerhetsbristen. SLS webbportal bygger på Microsoft .NET och använder inte PHP. SLS medlemsregister MyClub använder inte heller PHP. SLS centrala IT-miljö hanterar säkerhetsfrågor systematiskt och föreningar som använder den gemensamma portalen behöver därför inte vidta några åtgärder med anledning av denna säkerhetsvarning.

Föreningar med egna webbplatser, exempelvis WordPress
Föreningar som har egna, fristående webbplatser byggda i WordPress eller andra system som använder PHP behöver omgående kontrollera att deras webbplatser är skyddade. Säkerhetsbristen finns i PHP och inte i själva WordPress. Det innebär att det inte räcker att enbart uppdatera WordPress via administrationspanelen. Även PHP-versionen på servern måste vara uppdaterad.

Vad behöver ni göra?
Kontakta ert webbhotell eller er IT-ansvariga. Om webbplatsen ligger hos exempelvis Loopia, Oderland eller One.com, kontakta deras support eller kontrollera inställningarna i webbhotellets kontrollpanel. Kontrollera att säkerhetsuppdateringen är installerad. Fråga om webbhotellet har installerat den senaste säkerhetsuppdateringen för PHP2Shell och om er webbplats berörs av sårbarheten. Säkerhetsuppdateringar för de aktuella sårbarheterna släpptes den 21 oktober 2026 i PHP-versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35.

Viktigt om äldre PHP-versioner
Webbplatser som använder äldre PHP-versioner, exempelvis 8.1, 7.4 eller tidigare, kan vara särskilt utsatta eftersom dessa versioner inte längre får ordinarie säkerhetsuppdateringar från PHP-projektet.

Om er webbplats använder en äldre version bör ni omgående kontakta ert webbhotell eller er IT-ansvariga för att bedöma säkerhetsrisken och vilka åtgärder som krävs. Om webbplatsen är sårbar och inte kan säkras direkt kan den behöva tas tillfälligt offline.

Läs mer
PHP – officiell säkerhetsinformation om kritiska sårbarheter (21 oktober 2026)

Nationellt cybersäkerhetscenters säkerhetsvarning

Tack för att ni hjälper till att skydda er förenings webbplats och digitala information.