Den 21 oktober släppte utvecklarna bakom PHP, programmeringsspråket som driver bland annat WordPress, akuta säkerhetsuppdateringar för två kritiska sårbarheter som låter en angripare ta över en webbserver utan att logga in. Felen kallas PHP2Shell och berör alla webbplatser som körs på PHP och inte har uppdaterats, vilket gäller många svenska börsbolag. Enligt PHP Foundation var det ena felet känt redan 2024. Av de 343 bolag på Nasdaq Stockholms huvudlista vars webbplatser vi har studerat bygger fyra av tio sin sajt i WordPress.
Vad har hänt?
OpenAI, vars AI-modeller användes för att hitta felen, beskriver PHP2Shell som en av de mest genomgripande sårbarheterna på senare tid. Myndigheter har uppmanat till omedelbar uppdatering, och flera organisationer tog ned sina webbplatser i väntan på den.
PHP2Shell är två säkerhetsfel i programspråket PHP (CVE-2026-109618 och CVE-2026-109619). Felen sitter i hur PHP hanterar ett anrop till sajten som avbryts halvvägs, till exempel när servern får slut på minne. PHP klassar båda som kritiska, vilket är den högsta allvarlighetsgraden. Eftersom WordPress är skrivet i PHP kan alla WordPress-sajter vara drabbade, och detsamma gäller andra publiceringssystem som Drupal och Joomla.
Uppgifter om felen läckte den 20 oktober, innan uppdateringen var klar. Samma kväll publicerade säkerhetsföretaget Calif, som var med och hittade felen, av misstag en video där företagets testattack visades fungera mot flera olika mål. Videon togs bort, men kopior spreds snabbt i sociala medier. Den avslöjade också vissa detaljer om sårbarheterna, vilket gjorde det lättare för andra att ta fram egen attackkod. På kodplattformen GitHub dök det upp kodförråd (repos) som påstår sig innehålla färdig attackkod, och Cloudflare noterade attacktrafik mot sina kunder. Allt detta skedde innan PHP hann släppa uppdateringen, som tidigarelades från den planerade 22 oktober till 21 oktober.
Känt sedan 2024
Denna typ av fel är inte ny. Säkerhetsforskaren Stefan Esser beskrev redan 2004 hur PHP kunde lämna servern i ett osäkert läge när minnet tog slut mitt i ett anrop. Den sårbara delen av PHP har funnits med sedan version 5.4, som kom 2012.
2024 hände något anmärkningsvärt. Under PHP:s första externa säkerhetsgranskning på flera år, utförd av det franska cybersäkerhetsföretaget Quarkslab, hittade en utvecklare de första tecknen på minnesfelet. Ingen kunde då visa hur felet skulle användas för att ta över en server. Säkerhetsteamet tog fram flera möjliga lösningar, men varje lösning riskerade att få befintliga sajter att sluta fungera eller skapa nya problem, och arbetet stannade av i månader. PHP Foundation kallar själv förseningen ett strukturellt misslyckande, som berodde på både beslutsprocessen och brist på resurser.
Först när forskare under 2026 visade en fungerande attack med hjälp av AI-verktyg hamnade felet högst upp på prioritetslistan. För den som ansvarar för en webbplats är lärdomen obekväm. Ett fel kan vara känt i åratal utan att någon säkerhetsuppdatering finns, och när den väl kommer kan attackerna redan ha skett.
Därför är det allvarligt
Felen kan utnyttjas innan WordPress har startats. PHP har visat att det i en vanlig serveruppsättning räcker med ett enda anrop till sajten, utan inloggning, för att ta sig in. En WordPress-sajt med uppdaterad kärna (core) och uppdaterade tillägg (plugins) kan alltså ändå vara sårbar.
Angripare kan också använda felen för att läsa serverns minne, där lösenord och nycklar till kopplade system kan finnas. En server som uppdaterats sent kan därför ha läckt nycklar som fortfarande fungerar.
PHP skriver att fullständiga skyddsåtgärder saknas och att uppdatering är det enda säkra valet. För version 8.1 och äldre släpper PHP inte längre ut nya versioner. Med tanke på allvaret har PHP:s säkerhetsteam ändå tagit fram enkla säkerhetsuppdateringar i källkoden för PHP 7.4, 8.0 och 8.1, men på de flesta sajter är det leverantören som måste implementera dem. Den som kör en äldre version behöver därför fråga sin leverantör hur den är skyddad.
Vad vi såg på Main Market
Vi har granskat webbplatserna för 343 bolag på Large, Mid och Small Cap. Genomgången gjordes mellan 21 och 23 oktober och bygger på det sajterna själva visar utåt.
138 av bolagen använder WordPress, alltså 40 procent. I Mid Cap och Small Cap är det mer än hälften:
| Segment | Bolag | Varav WordPress | Andel |
|---|---|---|---|
| Large Cap | 128 | 22 | 17 % |
| Mid Cap | 121 | 62 | 51 % |
| Small Cap | 94 | 54 | 57 % |
Alla sajter visar inte vilken PHP-version de kör. Bland dem som gör det såg fördelningen ut så här 23 oktober:
| Status | Andel |
|---|---|
| Uppdaterad (PHP2Shell åtgärdat) | 36 % |
| Ej uppdaterad (säkerhetsuppdatering finns) | 48 % |
| PHP 8.1 eller äldre (ingen ny version från PHP) | 17 % |
Nästan två av tre hade alltså inte uppdaterat, och var åttonde körde PHP 7.
Siffrorna ska läsas med försiktighet. En sajt som döljer sin version är inte därmed säker. Omvänt kan en leverantör ha lagt in säkerhetsuppdateringen utan att versionsnumret ändrats, vilket är vanligt hos leverantörer som för över uppdateringar till äldre versioner. En sak går ändå att utläsa. En sajt som i dag visar att den kör PHP 7 har inte uppgraderats till en version som PHP själv stöder på flera år, och det säger mer om förvaltningen än om det enskilda felet.
Problemet sitter i tilläggen snarare än i WordPress
Själva WordPress, den så kallade kärnan, har få säkerhetsfel. Av de 7 966 sårbarheter som hittades i WordPress-ekosystemet 2024 satt endast sju i kärnan. Resten fanns i tillägg och teman, och antalet ökar varje år. Patchstack räknade 5 948 nya sårbarheter 2023 vilket var 24 procent fler än året innan. Under 2025 hittades 11 334, en ökning med 42 procent, och 91 procent av dem satt i tillägg.
Många av felen är små. Av 2024 års sårbarheter bedömde Patchstack att 70 procent sannolikt aldrig kommer att utnyttjas. Samtidigt gick 43 procent att utnyttja utan inloggning. Att betala för ett tillägg är heller ingen garanti. Enligt Patchstack var 59 procent av felen i betalda tillägg och teman av den allvarligaste typen, sådana som kan användas i automatiska massangrepp. Ett sådant angrepp väljer inte ut ett specifikt bolag utan riktar sig mot varje sajt som kör det sårbara tillägget. Dessutom får tillägg som överges av sina utvecklare aldrig några säkerhetsuppdateringar.
Detta flyttar frågan till förvaltningen. En WordPress-sajt består av kärna, tema, tillägg och PHP. Dessa uppdateras ofta av olika parter, som webbyrån, hostingleverantören och varje tilläggs egen utvecklare. PHP2Shell fanns i det lager som redaktören aldrig ser och som ingen på bolaget brukar ansvara för.
Webbplatsen är en del av MAR-kedjan
För ett börsbolag är webbplatsen mer än en marknadsföringsyta. Insiderinformation sprids först via nyhetsdistributören, men enligt artikel 17.1 i MAR ska bolaget också lägga ut informationen på sin webbplats och ha den kvar i minst fem år. Artikeln kräver dessutom att emittenten ser till att insiderinformation hålls hemlig fram till offentliggörandet.
Det gör tiden mellan uppladdning och publicering till en risk. Hur mycket den kan vara värd visade ett amerikanskt fall 2015. Hackare tog sig under fem år in hos distributörer av pressmeddelanden och kom åt mer än 100 000 meddelanden före publicering. Enligt SEC gav handeln på informationen över 100 miljoner dollar i olaglig vinst. Det fallet gällde distributörer, men samma fönster uppstår när hemliga filer laddas upp i webbplatsens mediaarkiv i väntan på publicering. Fönstret är som störst under rapportperioderna, och just nu är vi mitt i rapporteringen för tredje kvartalet.
Det här bör börsbolag göra nu
Fråga webbleverantören vilken PHP-version som körs, om säkerhetsuppdateringen är installerad och om servern har startats om efteråt.
Byt nycklar och lösenord som funnits på servern om uppdateringen dröjde mer än något dygn.
Gå igenom tilläggen, ta bort de som inte används och kontrollera att resten fortfarande underhålls.
Säkerställ att ansvarsfördelningen är tydlig för kärna, tema, tillägg, PHP och server, och att det står i avtalet.
Be leverantören visa hur sajten är skyddad om den kör PHP 8.1 eller äldre, eftersom PHP inte längre ger ut nya versioner för dem.
Håll insiderinformation borta från den publika servern fram till publicering, även när publiceringen är schemalagd.
Ha en plan för rapportdagen som definierar vad som gäller för webbplatsen om den går ner. Pressmeddelanden går ändå ut eftersom de sprids via distributören och inte via webbplatsen.
Börsbolag lägger stora resurser på att rapporteringen blir korrekt, med revision, kontroller och ett tydligt ansvar för varje siffra. Webbplatsen där samma rapport publiceras hanteras dock ofta som ett marknadsprojekt, fördelat på en webbyrå, eventuellt en hostingleverantör och ett antal tillägg som ingen på bolaget har överblick över. Samtidigt är hemsidan navet i ett börsnoterat bolags informationsgivning. Ställ er frågan hur många som läser era finansiella rapporter jämfört med hur många som besöker er webbplats. För de flesta bolag är svaret en tankeställare, och ändå får webbplatsen ofta en betydligt mindre del av budgeten.
PHP2Shell var känt i två år innan en säkerhetsuppdatering fanns tillgänglig. Dagarna efter att uppdateringen släpptes körde nästan två av tre av de börsbolagssajter som visar sin PHP-version fortfarande en version där felet inte är åtgärdat. Detta säger mindre om tekniken än om ägarskapet, och det väcker frågan om en plattform som bygger på tredjepartstillägg är rätt val för en hemsida som hanterar känslig information.
AVA Corporate Communications är en kommunikationsbyrå i Stockholm och Göteborg som arbetar med över 30 noterade bolag på Nasdaq. Vi erbjuder finansiell kommunikation, investor relations, hållbarhet, digitala lösningar, varumärke och public relations, och vi bygger och förvaltar IR-webbar och koncernhemsidor som en del av bolagens informationsgivning och rapportering. Kontakta oss för en genomgång av er hemsida eller mer information.
