Hvað keyra íslenskir vefir á? Um helmingur sýnir merki um PHP

Á miðvikudag gaf PHP-verkefnið út neyðaruppfærslu vegna tveggja alvarlegra veikleika. PHP er forritunarmálið sem knýr stóran hluta vefsíðna í heiminum, þar á meðal WordPress. Veikleikarnir gera utanaðkomandi aðila kleift að keyra eigin kóða á vefþjóni án þess að hafa aðgang að honum. Lagfæringin kom út 21. október, en hún gagnast aðeins þeim vefjum þar sem hýsingaraðilinn hefur sett hana upp. Fyrir PHP 8.1 og eldri kemur engin lagfæring frá PHP-verkefninu sjálfu.

Vísir (opnast í nýjum glugga) ræddi á miðvikudagskvöld við Guðmund Arnar Sigmundsson, sem stýrir netöryggismálum hjá Advania og var áður yfirmaður netöryggissveitarinnar CERT-IS. Hann sagði að þetta væri „bara tímakapphlaup um hvort er á undan“ og lýsti áhyggjum af þeim sem „hafa ekki gripið til ráðstafana“, einkum smærri rekstraraðilum. Þegar greinin var skrifuð lágu vefir Reykjavíkurborgar og Strætó meðal annars niðri og Advania tók hluta viðkvæmra kerfa úr loftinu þar til uppfærslan kom.

Spurningin sem situr eftir er hversu margir íslenskir vefir keyra á PHP. Við skoðuðum það daginn eftir að lagfæringin kom út. Um helmingur íslenskra fyrirtækjavefja í úrtökunum okkar sýnir merki um PHP: 51% í handahófsúrtaki og 55% á lista okkar. Veikleikarnir tveir sem PHP lagaði 21. október snerta þessa vefi, og fæstir þeirra sýna hvaða útgáfu þeir keyra.

Hvað gerðist

PHP-verkefnið gaf 21. október út neyðaruppfærslur vegna tveggja veikleika, CVE-2026-109618 og CVE-2026-109619. Báðir fá 9,2 af 10 í CVSS-einkunn og geta gert óauðkenndum utanaðkomandi aðila kleift að keyra kóða á vefþjóninum. Allar uppsetningar sem svara vefbeiðnum eru í hættu, hvort sem þær nota PHP-FPM, mod_php eða annað (Rapid7, CERT-EU).

Lagfærðu útgáfurnar eru 8.5.12, 8.4.27, 8.3.36 og 8.2.35. PHP 8.1 og eldri fá enga uppfærslu frá PHP-verkefninu, en sumir hýsingaraðilar og dreifingaraðilar bakfæra lagfæringar (e. backport) sjálfir.

Upplýsingar láku út og PHP flýtti útgáfunni um einn dag. Tæknilegar upplýsingar eru nú opinberar og fyrstu árásarkóðar (e. proof of concept) eru í dreifingu. Cloudflare sagði 21. október að það sæi fyrstu árásartilraunir, en öryggisfyrirtækið Huntress hafði þá ekki séð þær hjá sínum viðskiptavinum. PHP-þróunaraðili sagði við BleepingComputer að uppfærsla væri eina lausnin.

Hvað við skoðuðum

Við sendum eina venjulega beiðni á forsíðu hvers vefs, um 13 til 14 klukkustundum eftir að lagfæringarnar komu út, og lásum svarhausa og HTML. Ekkert annað: engar aðrar slóðir, engin könnun á veikleikum og engar árásartilraunir. Vefir eru ekki nafngreindir og niðurstöðurnar eru ekki notaðar til að hafa samband við einstaka eigendur.

Úrtökin eru þrjú og eru aldrei lögð saman:

• Handahófsúrtak úr 1819.is. Við drógum 1.000 fyrirtæki af handahófi. 377 þeirra skráðu eigin vefsíðu (38%) og af þeim 371 einstökum lénum svöruðu 308 vefir eðlilega.
• Listinn okkar. 1.364 vefir úr níu atvinnugreinum, þar af um helmingur í ferðaþjónustu. 1.278 svöruðu eðlilega.
• Lögmannsstofur. Allir lögmenn á skrá Lögmannafélags Íslands (718 skráningar). Þar voru 210 einstök lén og 171 vefur svaraði eðlilega eftir að við slepptum sex vefjum sem við smíðuðum sjálf.

Litljómi smíðar vefi í Next.js, ekki PHP, og hefur því hag af umræðunni. Þess vegna tókum við eigin vefi út úr lögmannaúrtakinu og birtum aðferðina hér.

Niðurstöður

Um helmingur vefjanna sýnir merki um PHP, hvort sem við völdum þá af handahófi eða úr eigin lista. Hlutföllin miðast við vefi sem svöruðu eðlilega. Svigarnir sýna 95% öryggisbil.

• Úrtökin þrjú gefa sömu mynd. Öll hlutföll á listanum okkar liggja innan öryggisbila handahófsúrtaksins, svo listinn virðist ekki skekkja niðurstöðuna.
• Talan um PHP er lágmark. Sérsmíðuð PHP-kerfi sem sýna engin merki koma ekki fram og fjórðungur vefjanna fellur í flokkinn „óþekkt eða sérsmíðað“.
• Vefir á vefsmiðum og JS-römmum byggja ekki á PHP-vefumsjónarkerfi. Ef sami þjónn keyrir önnur PHP-kerfi eru þau eftir sem áður í hættu.

PHP-útgáfur: hverjir eru komnir í lag

Aðeins 14% vefja í handahófsúrtakinu birta PHP-útgáfu í svarhausum (44 af 308), svo staða uppfærslna er óþekkt fyrir flesta. Af þeim sem birta hana var rúmur þriðjungur á útgáfum sem fá enga lagfæringu frá PHP.

Einn vefur á listanum birti ekki þriðju töluna í útgáfunni og er ekki með í töflunni. Á listanum okkar eru 55 af þessum 150 vefjum með sömu uppsetningu á PHP 7.2.34. Án þeirra eru 95 af 194 (49%) á óstuddum útgáfum.

Útgáfan í hausnum er upprunaútgáfan. Hýsingaraðilar geta bakfært lagfæringar án þess að breyta henni, svo „óstudd“ þýðir ekki endilega „berskjölduð“. Skönnunin er augnabliksmynd 13 til 14 klukkustundum eftir útgáfu og staðan breytist hratt.

Hvað á að gera

1. Spyrðu hýsingaraðilann (eða vefsmiðinn) hvaða PHP-útgáfu vefurinn keyrir. Hún þarf að vera 8.5.12, 8.4.27, 8.3.36 eða 8.2.35 (eða nýrri í sömu grein), eða hafa fengið staðfesta bakfærslu frá hýsingaraðilanum.
2. Ef útgáfan er 8.1 eða eldri fæst engin uppfærsla frá PHP. Biddu hýsingaraðilann um staðfestingu á bakfærslu eða færðu vefinn á studda útgáfu.
3. Ekki treysta á bráðabirgðaúrræði. Að slökkva á session.upload_progress, loka á multipart-beiðnir og setja upp WAF-reglur (Cloudflare hefur gefið út neyðarreglur) draga úr áhættu en gera vefinn ekki öruggan.
4. Uppfærsla á WordPress eða viðbótum lagar þetta ekki. PHP-útgáfan er á þjóninum og er á ábyrgð hýsingaraðilans.
5. Hafi vefurinn verið á ólagfærðri útgáfu síðan 21. október skaltu athuga hvort nýjar skrár hafi birst í vefmöppunni og hvort óþekktir stjórnendur séu í vefumsjónarkerfinu. Við grun um innbrot skaltu einangra þjóninn, varðveita atburðaskrár og hafa samband við hýsingaraðilann.

Fyrirvarar

• Þetta eru úrtök vefja sem eru skráðir og eiga vefsíðu, ekki allir íslenskir vefir. Aðeins 38% fyrirtækja í handahófsúrtakinu úr 1819.is skráðu vefsíðu. Auk þess svöruðu 13% skráðra vefja ekki og flest lénin sem ekki tengdust eru ekki lengur til. Þeir vefir eru ekki í tölunum.
• Útgáfur geta verið faldar eða falsaðar. Flestir vefir birta enga PHP-útgáfu og útgáfa í haus segir ekkert um bakfærðar lagfæringar.
• Skönnunin sér aðeins forsíðuna og svarhausa. Hún segir ekkert um hvort vefur sé berskjaldaður eða hafi orðið fyrir innbroti. Við prófuðum ekkert slíkt.
• Hlutföllin eiga við hvert úrtak fyrir sig. Þau eru ekki lögð saman og ekki yfirfærð á „alla íslenska vefi“.

Hvað tölurnar þýða í raun

Ímyndaðu þér hundrað íslensk fyrirtæki með vefsíðu. Í handahófsúrtakinu okkar sýna um fimmtíu þeirra merki um PHP og um fjörutíu keyra á WordPress. Hvað þýðir það fyrir þá sem reka vef?

• WordPress-uppfærslur duga ekki. Veikleikarnir eru í PHP sjálfu, undir WordPress. Vefur með nýjustu útgáfu af WordPress og öllum viðbótum getur samt verið óvarinn ef þjónninn keyrir ólagfærða PHP-útgáfu.
• Flestir eigendur sjá ekki hvar þeir standa. Í handahófsúrtakinu birta 44 af 308 vefjum PHP-útgáfuna. Hjá hinum er svarið hjá hýsingaraðilanum, ekki á vefnum sjálfum.
• Það dugar ekki að bíða. Af 44 vefjum sem sýna útgáfu voru 9, um einn af hverjum fimm, komnir í lagfærða útgáfu 13 til 14 klukkustundum eftir útgáfu. Það er eðlilegt, því uppfærslur taka tíma. En 16 vefir, rúmur þriðjungur, voru á útgáfum sem fá enga lagfæringu frá PHP. Þeir lagast ekki af sjálfu sér: þeir þurfa staðfesta bakfærslu frá hýsingaraðilanum eða flutning á nýrri útgáfu.
• Einn aðili getur ráðið örlögum margra vefja. Á listanum okkar eru 55 vefir á nákvæmlega sömu gömlu PHP-útgáfunni, sem bendir til þess að einn aðili sjái um þá alla. Ef hann grípur til aðgerða lagast 55 vefir í einu, annars sitja þeir allir eftir. Þess vegna er rétt að spyrja hver sér um þjóninn, ekki bara hver smíðaði vefinn.
• Uppfærsla eftir á er ekki alltaf nóg. Vísir segir að árásaraðilar vilji komast yfir viðkvæm gögn og koma fyrir bakdyrum sem veiti þeim aðgang „löngu eftir að búið er að loka fyrir umræddan veikleika“. Vefur sem var óvarinn um tíma þarf því bæði uppfærslu og athugun á því hvort einhver hafi komist inn.

Guðmundur Arnar kallaði þetta tímakapphlaup. Tölurnar okkar sýna hvers vegna: um helmingur vefjanna keyrir á PHP, en aðeins um sjöundi hver vefur sýnir útgáfuna, svo flestir eigendur geta ekki séð hvar þeir standa. Eina leiðin til að komast að því er að spyrja þann sem hýsir vefinn, og það þarf að gera í dag en ekki í næstu viku.

Heimildir

Síður sem voru opnaðar 22. október 2026:

• Vísir: Kapphlaupið hafið og hann hafi áhyggjur af öryggi þeirra minni (Eiður Þór Árnason, 21. október 2026) (opnast í nýjum glugga)
• CERT-EU: Critical Vulnerabilities in PHP (2026-018) (opnast í nýjum glugga)
• Rapid7: CVE-2026-109618 and CVE-2026-109619 (opnast í nýjum glugga)
• Huntress: php2shell, leaked critical PHP vulnerabilities (opnast í nýjum glugga)
• BleepingComputer: PHP warns admins of two critical flaws (opnast í nýjum glugga)

Hlutföllin eru úr eigin skönnun Litljóma 22. október 2026 (aðferð og úrtök hér að ofan). Fyrri mæling okkar: Staða íslenskra vefja 2026.