Kritiske sikkerhedsopdateringer til PHP og Node.js: Det har vi gjort, og det skal du gøre

I dag, den 21. oktober 2026, har både PHP og Node.js udgivet sikkerhedsopdateringer. Især PHP-rettelserne er vigtige: De lukker to kritiske sårbarheder, som lader en angriber køre kode på en webserver uden at logge ind. Der blev rapporteret om angreb, allerede inden rettelserne var udgivet.

WireBoard er allerede opdateret. Der var ingen nedetid, og du skal ikke gøre noget ved din WireBoard-konto eller dit sporingsscript.

Men hvis din egen hjemmeside eller app bruger PHP eller Node.js, så læs videre, og opdater i dag.

Kort fortalt

• Bruger du WordPress, Magento, Drupal, Laravel eller en anden PHP-app? Så bruger du PHP. Opdater nu.

• Har du delt eller administreret hosting? Din hostingudbyder står for PHP-rettelsen. Tjek, at den er installeret.

• Når du har opdateret PHP, skal du genstarte PHP-FPM eller Apache. Ellers kører den gamle version videre.

• Bruger du en version, der ikke længere understøttes (PHP 8.1 eller ældre, Node.js 25, 23, 20 eller ældre)? Du får ingen officiel rettelse. Planlæg at skifte til en understøttet version.

Hvad er der sket?

PHP: "PHP2Shell" (CVE-2026-109618 og CVE-2026-109619)

PHP-teamet har udgivet rettelser til to kritiske sårbarheder, som begge har fået en score på 9,2 på CVSS v4.0-skalaen:

• CVE-2026-109618: fjernkørsel af kode via hukommelseskorruption, når PHP løber tør for hukommelse under behandlingen af en forespørgsel.

• CVE-2026-109619: fjernkørsel af kode via forældet global tilstand.

Begge sårbarheder kan udnyttes udefra uden godkendelse, også med standardopsætningen. Detaljerne blev lækket på nettet dagen før den planlagte udgivelse. Sikkerhedsfirmaer registrerede derfor angreb og sonderinger mod PHP-hjemmesider, inden rettelserne var tilgængelige. Flere virksomheder tog deres tjenester offline som en sikkerhedsforanstaltning, indtil de kunne opdatere.

Alle understøttede PHP-grene er berørt i versioner før 8.2.35, 8.3.36, 8.4.27 og 8.5.12.

Node.js: Sikkerhedsopdatering for oktober 2026

Node.js har udgivet rettelser til versionsserierne 26.x, 24.x og 22.x. De dækker 10 sårbarheder, hvoraf 4 har alvorlighedsgraden høj. De vigtigste er:

• CVE-2026-111497: en skriveoperation uden for det tildelte hukommelsesområde i Brotli-dekomprimeringen, som kan gøre det muligt at køre kode udefra. Din app kan blive ramt blot ved at kalde fetch() mod en server, der returnerer Brotli-komprimerede data.

• CVE-2026-105483 / CVE-2026-106069: mulighed for at omgå TLS-kontrollen af værtsnavne ved at skrive IP-adresser på usædvanlige måder.

• CVE-2026-105482: dns.resolve kunne slå et andet navn op end det, din kode havde kontrolleret.

Det har vi gjort

Vi har i dag installeret begge opdateringer i hele WireBoards infrastruktur. Det skete uden nedetid og uden at påvirke data. Du bruger WireBoard præcis som før.

Er du berørt?

Du skal gøre noget, hvis din hjemmeside, app eller server bruger:

• PHP, enten direkte eller gennem et CMS eller framework som WordPress, WooCommerce, Magento, Drupal, Joomla, Laravel eller Symfony.

• Node.js, for eksempel i en Next.js-, Nuxt-, Express- eller NestJS-app eller i en backendtjeneste eller buildserver, der kører Node.

Er du i tvivl? Spørg din udvikler eller hostingudbyder. Du behøver kun at spørge: "Bruger vores hjemmeside PHP eller Node.js, og er den opdateret med dagens sikkerhedsrettelser?"

Sådan tjekker du din version

PHP

Det er den version, din webserver bruger, der tæller. Kommandoen php -v i en terminal viser PHP-versionen til kommandolinjen, og den kan være en anden.

1. Opret en fil med navnet info.php i hjemmesidens webrod med indholdet <?php phpinfo();

2. Åbn filen i din browser, og se efter PHP Version øverst.

3. Slet filen med det samme bagefter: Den viser hele din serverkonfiguration.

Mange hostingkontrolpaneler (cPanel, Plesk og lignende) viser også PHP-versionen.

Bemærk om pakker fra Linux-distributioner: Ubuntu, Debian, RHEL og lignende indarbejder ofte rettelserne i ældre versioner uden at ændre versionsnummeret. Tjek i så fald pakkens ændringslog for CVE-id'erne i stedet (se nedenfor).

Node.js

node -v

Rettelserne er installeret, hvis du ser v26.12.1, v24.22.1, v22.23.4 eller en nyere version i samme versionsserie.

Sådan opdaterer du PHP

Vælg det afsnit, der passer til din servers PHP-installation.

Delt eller administreret hosting

Din udbyder administrerer PHP og installerer rettelserne. Tjek udbyderens statusside eller driftsmeddelelser, og bekræft derefter versionen med phpinfo() som beskrevet ovenfor. Hvis du kan vælge PHP-version i kontrolpanelet og bruger 8.1 eller ældre, så skift til 8.2 eller nyere. Tjek først, at dit CMS og dine plugins understøtter versionen.

Ubuntu / Debian

sudo apt update
# replace 8.3 with the PHP branch you use
sudo apt install --only-upgrade 'php8.3-*'

# confirm the fix is included
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961(8|9)'

Hvis den sidste kommando ikke giver noget output, er rettelserne endnu ikke tilgængelige i din distributions pakkearkiv. Tjek Ubuntu Security Notices eller Debian Security Tracker, og prøv igen senere. Bruger du Ondřej Surýs PHP-pakker, opdaterer du på samme måde fra hans pakkearkiv.

RHEL / AlmaLinux / Rocky Linux

dnf module list php          # see which PHP stream you're on
sudo dnf upgrade 'php*'

# confirm the fix is included
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961(8|9)'

Bruger du Remi-pakkearkivet, skal du opdatere derfra.

Docker

Et nyt image opdaterer ikke containere, der allerede kører. Hent det nye image, byg igen, og genopret containerne:

docker pull php:8.3-fpm        # use your tag
docker compose build --pull
docker compose up -d

For at være helt sikker kan du låse versionen med rettelserne i din Dockerfile (for eksempel FROM php:8.3.36-fpm).

Kompileret fra kildekode eller installeret på Windows

Hent versionen med rettelserne fra php.net/downloads.

Genstart derefter PHP

Dette trin er let at overse. Kørende processer bruger stadig den gamle PHP-version, indtil de bliver genstartet:

# PHP-FPM (Debian/Ubuntu; replace 8.3 with your branch)
sudo systemctl restart php8.3-fpm

# PHP-FPM (RHEL family)
sudo systemctl restart php-fpm

# Apache with mod_php
sudo systemctl restart apache2   # or httpd on RHEL

Tjek derefter phpinfo() igen for at bekræfte, at den nye version kører.

"Kan jeg nøjes med at ændre en indstilling?"

Nej. Der blev tidligt delt midlertidige løsninger, blandt andet at slå session.upload_progress.enabled fra. De mindsker kun risikoen. En af udviklerne bag PHP har offentligt sagt, at en PHP-opdatering er den eneste reelle løsning. Har du taget en midlertidig løsning i brug, så behold den, indtil du har opdateret. Men opdateringen skal stadig til.

Sådan opdaterer du Node.js

Efter opdateringen skal du genstarte din app (eller genudrulle den) og bekræfte versionen med node -v.

Hvis din version ikke længere understøttes

Der udgives kun officielle rettelser til understøttede versioner:

• PHP: 8.2, 8.3, 8.4 og 8.5. Der kommer ingen officiel rettelse til PHP 8.1 og ældre. Nogle Linux-distributioner og leverandører af betalt langtidssupport indarbejder rettelserne i ældre versioner, så spørg din leverandør. Ellers er det sikreste at opgradere til en understøttet gren. Bemærk, at PHP 8.2 kun får sikkerhedsrettelser frem til den 31. december 2026.

• Node.js: 22.x, 24.x og 26.x. Versionsserier som 25, 23 og 20 understøttes ikke længere og får ingen rettelser.

Kan du ikke opgradere med det samme, så overvej at beskytte hjemmesiden med en webapplikationsfirewall eller begrænse adgangen, indtil du kan.

Læs mere

Officielle sikkerhedsmeddelelser

• PHP: Nyheder og nye versioner

• PHP-sikkerhedsmeddelelse GHSA-w8hw-w9fx-j79w (CVE-2026-109618)

• PHP-sikkerhedsmeddelelse GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)

• Understøttede PHP-versioner

• Node.js: Sikkerhedsopdateringer onsdag den 21. oktober 2026

Nyttige vejledninger

• GoDaddy: Vigtig sikkerhedsopdatering til PHP, hvad du skal gøre som hjemmesideejer (overblik i et letforståeligt sprog)

• Help Net Security: PHP2Shell er rettet, opdater nu

• ma.ttias.be: Sådan installerer du PHP-rettelserne (status for de enkelte distributioner)

• Lilting: Gennemgang af Node.js-rettelserne fra oktober 2026 (teknisk gennemgang i dybden)