Uppdatera PHP i Linux efter de kritiska säkerhetshålen

Kontrollera PHP-version efter de senaste kritiska säkerhetshålen. Det går att göra på flera olika sätt beroende på om du använder en egen Linuxserver, ett webbhotell eller WordPress.

PHP-projektet släppte den 21 oktober 2026 nya säkerhetsversioner efter att två mycket allvarliga sårbarheter upptäckts. Problemen har beteckningarna CVE-2026-109618 och CVE-2026-109619 och kan i värsta fall göra det möjligt för en angripare att köra kod på en server utan att först logga in.

Det viktigaste är därför enkelt: om du driver en egen Linuxserver med PHP bör du kontrollera systemet och installera tillgängliga säkerhetsuppdateringar så snart som möjligt.

Vill du först läsa mer om vad som har hänt finns vår huvudartikel Kritiska säkerhetshål i PHP – uppdatera omedelbart.

Kontrollera först vilken PHP-version du använder

Innan du börjar uppdatera PHP i Linux är det bra att kontrollera vilken version som finns installerad.

Öppna terminalen och skriv:

php -v

Du får då information om vilken PHP-version som används från kommandoraden.

Ett exempel kan se ut ungefär så här:

PHP 8.4.27

Kom ihåg att detta visar PHP-versionen i terminalen. På vissa servrar kan webbservern använda en annan PHP-version, exempelvis genom PHP-FPM.

Vill du gå igenom kontrollen mer noggrant kan du läsa Så kontrollerar du vilken PHP-version din server använder.

Uppdatera PHP i Ubuntu och Debian

På Ubuntu, Debian och många närbesläktade Linuxdistributioner används normalt APT för att hantera program och säkerhetsuppdateringar.

Börja med att uppdatera informationen om tillgängliga paket:

sudo apt update

När listan över paket är uppdaterad installerar du tillgängliga uppdateringar med:

sudo apt upgrade

Om din Linuxdistribution har publicerat uppdaterade PHP-paket installeras de normalt tillsammans med övriga systemuppdateringar.

Det är i regel bättre att använda distributionens egna paket än att manuellt installera en annan PHP-version från en okänd källa. Linuxdistributioner kan dessutom lägga in säkerhetsrättningar i sina egna paket utan att versionsnumret blir exakt samma som på PHP:s webbplats.

Uppdatera PHP i Fedora

På Fedora används DNF. Där kan du kontrollera och installera tillgängliga uppdateringar med:

sudo dnf upgrade

Om Fedora har släppt ett uppdaterat PHP-paket installeras det tillsammans med övriga systemuppdateringar.

När uppdateringen är klar kan du kontrollera PHP-versionen igen:

php -v

Vilka PHP-versioner innehåller säkerhetsrättningarna?

PHP-projektet släppte den 21 oktober 2026 säkerhetsrättningar i följande versioner:

PHP-versioner med rättningar:
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35

Det betyder inte nödvändigtvis att en Linuxserver måste visa exakt något av dessa versionsnummer.

Linuxdistributioner med långtidsstöd kan ibland ta en säkerhetsrättning från en nyare version och lägga in den i ett äldre paket. Därför bör du även kontrollera säkerhetsinformationen från den distribution du använder.

Kan PHP-tjänster behöva startas om?

Efter att PHP har uppdaterats kan vissa tjänster behöva startas om innan webbservern börjar använda den nya koden.

Det gäller särskilt servrar som använder PHP-FPM.

På vissa system kan tjänsten heta:

php-fpm

På andra system används ett versionsspecifikt namn, exempelvis:

php8.4-fpm

En omstart kan då exempelvis göras med:

sudo systemctl restart php8.4-fpm

Viktigt:
Starta inte om tjänster på en viktig produktionsserver utan att först kontrollera vilken PHP-tjänst och webbserver som faktiskt används. Ett felaktigt tjänstenamn eller en trasig konfiguration kan göra webbplatsen tillfälligt otillgänglig.

Kontrollera att webbservern verkligen använder rätt PHP-version

Ett vanligt misstag är att kontrollera php -v och anta att hela servern använder samma version.

Så behöver det inte vara.

En server kan ha flera PHP-versioner installerade samtidigt. Kommandoraden kan använda en version medan Apache eller Nginx använder en annan genom PHP-FPM.

Om du själv administrerar servern bör du därför kontrollera hur webbservern är konfigurerad.

Det kan exempelvis innebära att kontrollera vilken PHP-FPM-pool som används och vilken socket eller port webbservern ansluter till.

Om du är osäker på vilken version som faktiskt används kan du gå tillbaka till guiden för att kontrollera PHP-versionen.

Testa webbplatsen efter uppdateringen

När du har uppdaterat PHP är det klokt att snabbt kontrollera att webbplatsen fortfarande fungerar som den ska.

Testa exempelvis:

• startsidan
• inloggning
• formulär
• administrationspanel
• eventuella API-funktioner
• sidor som använder egen PHP-kod

Om du nyligen gjort ett större hopp mellan PHP-versioner kan äldre kod, teman eller tillägg ibland orsaka fel.

Det är därför bra att både uppdatera och kontrollera funktionen efteråt.

Har du WordPress på servern?

Om servern används för WordPress är det viktigt att förstå att WordPress och PHP är två olika lager.

WordPress, teman och tillägg kan vara fullt uppdaterade samtidigt som servern använder en sårbar PHP-version.

Det är därför inte tillräckligt att bara se ett meddelande om att WordPress är uppdaterat.

Vi förklarar skillnaden närmare i PHP-hålen visar varför det inte räcker att bara uppdatera WordPress.

Har du vanligt webbhotell?

Om du använder ett vanligt webbhotell ska du normalt inte köra några av kommandona ovan själv.

Webbhotellet ansvarar vanligtvis för serverns operativsystem, PHP-installation och centrala säkerhetsuppdateringar.

Du kan däremot kontrollera vilken PHP-version din webbplats använder och om webbhotellet har publicerat information om de aktuella säkerhetsproblemen.

För dig som inte driver servern själv finns därför en separat guide: Har du webbhotell? Så kontrollerar du om PHP är säkert uppdaterat.

Kontrollera servern efter tecken på intrång

Eftersom de aktuella PHP-sårbarheterna är klassade som kritiska rekommenderar CERT-SE även att berörda system kontrolleras efter tecken på intrång.

En säkerhetsuppdatering stänger själva sårbarheten framåt, men den visar inte om någon redan hunnit utnyttja problemet innan uppdateringen installerades.

Det kan därför vara klokt att kontrollera:

• systemloggar
• oväntade användarkonton
• ovanliga processer
• nyligen ändrade filer
• misstänkta inloggningar
• nya eller oväntade tjänster

Vi går igenom detta steg för steg i Så kontrollerar du en Linuxserver efter tecken på intrång.

Uppdatera hela systemet – inte bara PHP

Det är också värt att komma ihåg att en server består av många olika komponenter.

Om PHP behöver en kritisk säkerhetsuppdatering kan det samtidigt finnas andra paket på systemet som också behöver uppdateras.

Genom att använda distributionens vanliga pakethanterare får du inte bara nya PHP-paket utan även andra säkerhetsrättningar som publicerats för systemet.

Det är en av anledningarna till att regelbundna systemuppdateringar är en viktig del av IT-säkerhet.

Fortsätt med rätt kontroll

Vilket nästa steg som är mest relevant beror på hur din webbplats är uppbyggd.

• Läs mer om de kritiska PHP-säkerhetshålen
• Kontrollera vilken PHP-version servern använder
• Kontrollera PHP hos webbhotellet
• Kontrollera WordPress och PHP tillsammans
• Kontrollera Linuxservern efter tecken på intrång

Kort sagt

Behöver du uppdatera PHP i Linux bör du börja med att kontrollera vilken version servern använder och därefter installera de säkerhetsuppdateringar som din distribution erbjuder.

På Ubuntu och Debian görs det normalt med apt, medan Fedora använder dnf.

Kontrollera därefter att webbservern verkligen använder den uppdaterade PHP-versionen och testa webbplatsens viktigaste funktioner.

Efter de kritiska PHP-sårbarheterna är det dessutom klokt att kontrollera servern efter ovanlig aktivitet, särskilt om den har varit direkt tillgänglig från internet.

”`