// 31. oktober 2026

PHP2Shell: Er din Drupal 7-hjemmeside udsat?

PHP2Shell er det navn, to kritiske sikkerhedshuller i PHP er blevet kendt under. PHP er den software, Drupal kører på. Hullerne sidder altså ikke i Drupal eller i et af sidens moduler. De kan udnyttes uden login, og der er allerede set angreb.

Har du en Drupal 7-hjemmeside, er det derfor værd at undersøge, hvilken PHP-version den bruger, og om dit webhotel har lagt en rettelse på. Her gennemgår jeg, hvad du skal vide, og hvad du kan gøre.

Hvad er PHP2Shell?

PHP arbejder bag hjemmesiden og er med til at danne de sider, dine besøgende ser. PHP2Shell gør det muligt for uvedkommende at køre kode på serveren uden at logge ind. Det kræver ikke en fejl i selve hjemmesidens kode. Også en meget simpel side kan være udsat.

De to PHP-sårbarheder hedder CVE-2026-109618 og CVE-2026-109619. PHP-projektet udgav rettelser den 21. oktober 2026 i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35.

PHP 8.1 og ældre får ikke længere almindelige opdateringer fra PHP-projektet. Til PHP2Shell har PHP’s sikkerhedsteam undtagelsesvis lavet rettelser til PHP 7.4, 8.0 og 8.1, som webhotellerne selv skal lægge på. Til PHP 7.3 og ældre findes der ingen rettelse.

Den amerikanske cybersikkerhedsmyndighed CISA føjede begge huller til sin liste over aktivt udnyttede sårbarheder den 26. oktober. Det er altså ikke kun et teoretisk problem.

Hvorfor er Drupal 7-sider særligt relevante?

Mange Drupal 7-sider kører stadig på gamle PHP-versioner. Blandt de danske Drupal 7-hjemmesider, hvor versionen kan ses udefra, kører de fleste PHP 7.3 eller ældre. Det er versioner uden nogen rettelse til PHP2Shell.

Rettelserne til PHP 7.4, 8.0 og 8.1 ændrer ikke versionsnummeret. Derfor er versionsnummeret ikke altid nok til at afgøre, om dit webhotel har håndteret sikkerhedshullet.

Hvad har Simply.com og One.com gjort?

Simply.com har beskrevet deres håndtering af PHP2Shell:

• PHP 8.2 til 8.5: Opdateret med de officielle rettelser.
• PHP 7.4, 8.0 og 8.1: Simply har lagt PHP-projektets særlige rettelser på. Versionsnummeret kan derfor se uændret ud.
• PHP 7.3 og ældre: Har fået ekstra beskyttelse, men ingen officiel rettelse.

Simply anbefaler PHP 8.2 eller nyere, men skiftet skal du selv lave i kontrolpanelet. Ekstra beskyttelse på PHP 7.3 og ældre er ikke det samme som en officiel rettelse.

One.com oplyste den 22. oktober, at opdateringen var lagt på, også på PHP 8.0 og 8.1 under deres PHP Extended Support. Ingen sider blev automatisk flyttet til en anden PHP-version.

Du bør derfor stadig tjekke din PHP-version og få afklaret, hvad dit webhotel konkret har gjort for den.

Hvorfor ikke bare vælge en nyere PHP-version?

Det lyder som den nemme løsning, men på en Drupal 7-side kan et skift få hjemmesiden til at gå i stykker.

Drupal 7 kan officielt køre på PHP 5.6 til 8.3. PHP 8 kræver dog en opdateret Drupal 7-version, og PHP 8.3 kræver Drupal 7.103. Ekstra moduler og specialudviklet kode kan have problemer med PHP 8 og skal testes. Nyere PHP-versioner har fjernet funktioner og ændret adfærd, som ældre kode bruger.

Skift derfor ikke bare PHP-version i kontrolpanelet uden at få undersøgt, om siden kan tåle det.

Der er desuden to problemer oven i hinanden: En rettelse til PHP løser ikke den manglende support til Drupal 7. Drupal-projektets officielle sikkerhedssupport til Drupal 7 sluttede den 5. januar 2025.

Hvad kan du gøre nu?

1. Find din PHP-version

Har du administratoradgang til Drupal 7, finder du versionen under Rapporter → Statusrapport, på linjen PHP.

Hos Simply finder du den under Website → PHP Version i kontrolpanelet. Du kan også spørge din udvikler eller dit webhotel.

Spørg samtidig, om PHP2Shell er rettet på netop den PHP-version, din side bruger. Drupals sikkerhedsteam understreger, at opdatering af PHP er den eneste fuldstændige afhjælpning.

2. Reagér på PHP 7.3 eller ældre

Kører siden på PHP 7.3 eller ældre, så tal med dit webhotel eller din udvikler nu. Få afklaret, hvilken beskyttelse der er lagt på, og hvordan siden kan komme videre uden at gå i stykker under et versionsskift.

3. Planlæg en migrering til Drupal 11

Den varige løsning er at komme væk fra både Drupal 7 og den gamle PHP-version.

Drupal 11 kræver PHP 8.3 eller nyere. En migrering flytter derfor også siden over på en understøttet PHP-version.

Jeg migrerer Drupal 7-sider til Drupal 11 med samme design, samme indhold og samme webhotel. Først tjekker jeg, at webhotellet kan køre Drupal 11. Du kan læse om pris og forløb for migreringen.

Send mig adressen på din hjemmeside, så kigger jeg på siden og sender et fast, uforpligtende tilbud på mail inden for 48 timer. Send din hjemmeside til mig her.