PHP-krisen: så informerar webbhotellen sina kunder
Behöver du själv uppdatera PHP, eller sköter webbhotellet det? Efter de kritiska PHP-hålen uppger nu Oderland, Inleed, Templ och Websupport att rättningar är installerade i de kundmiljöer respektive besked omfattar. Hos Inleed finns fortfarande vissa begränsningar på webbhotell. En egen server utan driftstöd kräver ofta att du agerar själv.
Webguide.se:s genomgång är kontrollerad den 23 oktober 2026 kl. 16.16–16.18, svensk tid (CEST). Vi följer åtta leverantörers offentliga besked. Det är leverantörsuppgifter, inte en teknisk granskning av kundservrar. Ett saknat offentligt besked säger inte att ett webbhotell saknar skydd eller har varit långsamt.
Vad visar eftermiddagens genomgång?
Fem av åtta leverantörer lämnar nu aktuella, uttryckliga färdigbesked inom angivna miljöer för CVE-2026-109618 och CVE-2026-109619. Simply.coms besked, publicerat den 22 oktober, har tillkommit i vårt underlag. Det är inte en ny installation i dag. Omfattningen skiljer sig mellan hanterade tjänster, egna servrar och äldre PHP-grenar.
För tre av åtta saknar vi ett aktuellt, uttryckligt färdigbesked i de kontrollerade källorna: HostUp, Loopia och Miss Hosting. Det betyder inte att deras servrar är opatchade. Simply.com anger en sluttid med uttrycklig tidszon, men en ensam tid för ett avgränsat PHP-urval ger ingen jämförbar tidsserie eller snabbast-lista.
Nytt råd den 23 oktober: PHP har också beskrivit CVE-2026-115560, som kräver en ovanlig kombination av sessionsinställningar och programkod. Färdigbeskeden i denna jämförelse gäller de två ursprungliga hålen och bekräftar inte automatiskt skydd mot den nya varianten. Be driftleverantören bedöma din miljö; huvudnyheten förklarar det nya rådet.
Oderland: färdigbesked för hanterade tjänster
I uppdateringen den 22 oktober kl. 04.05 uppger Oderland att samtliga PHP-versioner är uppdaterade på webbhotell, Agency och Managed Server. Sidan är senast uppdaterad den 23 oktober kl. 15.48. Klockslagen är beskedstider; någon separat exakt sluttid för installationerna anges inte. Vi tolkar de svenska tidsangivelserna som svensk lokal tid, eftersom tidszon inte skrivs ut.
Den 23 oktober kl. 08.40 uppger Oderland att de backportade paketen för PHP 8.2 och senare ersatts av paket med de officiella nya versionsnumren. Tidigare rättade paket kunde visa äldre nummer; bytet är inte ett nytt belägg för när den ursprungliga rättningen installerades. Kl. 15.45 uppger företaget att intrångsundersökningen fortsätter och att resultaten hittills talar för effektivt tillfälligt skydd. Det är ingen bekräftelse på intrång och utesluter inte oupptäckt aktivitet. Webbhotells-, Agency- och Managed Server-kunder behöver enligt Oderland inte själva uppdatera. Kunder i Oderland Cloud ansvarar själva för programvaran.
Inleed: rättat, men vissa begränsningar finns kvar
Inleed uppger nu att alla PHP-versioner är uppgraderade på webbhotell och Managed Server. Ett nytt tidslinjebesked den 22 oktober kl. 20.00 bekräftar att alla PHP-versioner är uppgraderade och säkrade på webbhotell och Managed Server. Det är en beskedstid, inte en separat installationstid. I uppdateringen den 22 oktober kl. 15.08 uppger företaget att samtliga tillfälliga skydd och blockeringar tagits bort på Managed Server med DirectAdmin. På webbhotellsnoderna har merparten av begränsningarna släppts, men enstaka undantag återstår. Statussidan markerar incidenten som löst kl. 15.41; det är inte samma sak som att alla begränsningar är borttagna. Vi tolkar tiderna som svensk lokal tid.
Det kan fortfarande märkas när större mängder data skickas till vissa webbhotellsservrar. Kontrollera därför viktiga uppladdningar och formulär efteråt. Inleed beskriver också hur CloudLinux-rättningar kan behålla ett äldre versionsnummer. De flesta webbhotellskunder behöver inte själva installera rättningen. För Managed Server gäller villkor om operativsystemets support och PHP i Docker. Kunder med server utan underhåll ansvarar själva för uppdateringen.
Templ: alla sajter uppges rättade, kontroll fortsätter
I beskedet den 22 oktober kl. 13.50 UTC, alltså kl. 15.50 svensk tid, uppger Templ att säkerhetsrättningar har installerats på alla sajter i hostingmiljön. Det omfattar även sajter som behövde flyttas till nyare infrastruktur. Företaget fortsätter kontrollera stabiliteten. Publiceringstiden är inte en separat uppgiven installationstid.
I uppföljningen den 23 oktober kl. 08.06 UTC (10.06 svensk tid) bekräftar Templ samma rättningsomfattning. Granskningen av filintegritetslarm har enligt företaget inte hittat bekräftade intrång kopplade till PHP2Shell; oupptäckt aktivitet utesluts inte. Incidenten ligger kvar under övervakning.
De tidigare rapporterade problemen med WordPress kommandoradsverktyg WP-CLI uppges också vara åtgärdade. Templ påpekar att kommandoraden och webbplatsen kan använda olika PHP-installationer; terminalens versionsnummer bekräftar därför inte ensamt webbplatsens status. Företaget uppger att det hittills inte har identifierat bekräftade intrång kopplade till PHP2Shell i sin miljö, men utesluter inte tidigare oupptäckt aktivitet. Det är företagets besked, ingen oberoende intrångsundersökning.
Websupport: färdigbesked för PHP 5.6 och senare
I uppdateringen den 22 oktober kl. 08.55.52 CEST uppger Websupport att relevanta säkerhetsrättningar har installerats för alla PHP-versioner företaget stöder, från PHP 5.6 och uppåt. Webbplatserna ska enligt företaget ha varit tillgängliga under uppdateringen. Detta är beskedets publiceringstid, ingen separat installationstid.
För PHP 5.3 skriver Websupport att versionen enligt tillgänglig information inte förväntas vara påverkad och att tillgängliga skyddsåtgärder införts. Det är en separat bedömning, inte samma rättningsbesked som för PHP 5.6 och senare. Företaget fortsätter bevaka läget.
HostUp: tidigare besked, fortsatt källlucka
HostUps statussida kunde inte återkontrolleras efter en tidigare åtkomstblockering. Vi gjorde inget nytt anrop till den spärrade källan. Ett besked läst den 21 oktober beskrev tillfälligt skydd för webbhotell och eget uppdateringsansvar för VPS-kunder. Det är historisk information, ingen aktuell bekräftelse på fullständig rättning.
Simply.com: rättning för PHP 7.4 och senare
I ett eget besked publicerat den 22 oktober kl. 15.02 CEST, uppdaterat kl. 15.17, uppger Simply.com att alla servrar hade de rättade versionerna den 21 oktober senast kl. 18.16 CEST. Beskedet skiljer officiella uppdateringar för PHP 8.2–8.5 från rättningar införda i äldre paket för PHP 7.4, 8.0 och 8.1. Det är leverantörens uppgivna sluttid, inte en tid vi har mätt.
För PHP 7.3 och äldre uppges extra skydd finnas kvar, men ingen rättning. Kunder på så gamla versioner rekommenderas därför att byta till en nyare PHP-version; ta backup och kontrollera sajten efter bytet. Kunder på de rättade versionerna behöver enligt företaget inte själva installera uppdateringen eller stänga sajten. Vår tidigare genomgång missade detta offentliga besked. Det är nytt i vårt underlag, inte en ny installation den 23 oktober.
Loopia och Miss Hosting: begränsat offentligt underlag
Loopias driftblogg beskrev akut UNIX-underhåll den 21 oktober kl. 16.10–16.30. Notisen kopplade inte uttryckligen arbetet till PHP-hålen. Vi räknar den därför inte som ett bekräftat rättningsbesked.
På Miss Hostings publika statussida hittade vi inget uttryckligt besked om incidenten. Kompletterande domänsökningar gav inga ytterligare verifierade incidentbesked för dessa två. Genomgången täcker inte privata kundutskick eller information bakom inloggning.
Tre svar att leta efter som kund
- Vilken tjänst omfattas? Vanligt webbhotell och egen VPS kan ha helt olika ansvarsfördelning.
- Vilket steg är klart? Tillfälligt skydd, byggda paket och installerade rättningar är olika saker. Fråga efter båda CVE-numren för din miljö.
- Behöver något testas efteråt? Kontrollera inloggning, formulär och viktiga butiksflöden. Byt inte PHP-huvudversion utan kompatibilitetskontroll.
Vi sparar daterade källkopior och följer samma urval. Fyra av de fem aktuella incidentbeskeden beskriver tidigare införda tillfälliga skydd. Tillfälligt skydd, färdig rättning och återställda funktioner följs separat. Huvudnyheten om PHP-hålen samlar rättade versioner, myndighetsråd och dokumenterade konsekvenser.
Ändringslogg
- 23 oktober 2026, eftermiddagen: Lagt till Simply.coms besked från den 22 oktober och rättat vår tidigare uppgift om saknat offentligt underlag. Fem av åtta har aktuella färdigbesked för de två ursprungliga hålen; en uttrycklig sluttid, ingen tidsranking. Uppdaterat Oderlands, Inleeds och Templs uppföljningar samt skilt det nya sessionsrådet från äldre färdigbesked.
- 22 oktober 2026, eftermiddagen: Uppdaterat med färdigbesked från Inleed, Templ och Websupport samt Inleeds kvarvarande begränsningar. Fyra av åtta har nu aktuella färdigbesked inom angivet omfång; ingen jämförbar tidsranking.
- 22 oktober 2026, morgonen: Första publicering med morgonens kontroll av åtta leverantörer.
Bildkredit: PHP-logotyp av Colin Viebrock. Logotypen har placerats i en bearbetad bild av Webguide.se; bilden delas under CC BY-SA 4.0.