Den 21 oktober 2026 släpptes säkerhetsuppdateringar för två kritiska sårbarheter i PHP. Det blev med andra ord en intensiv dag för alla som jobbar med att hålla hemsidor säkra. Hos Loopia gick vår driftavdelning snabbt från att följa utvecklingen till att kavla upp ärmarna och sätta igång.
Resultatet? Samtliga berörda kundservrar var uppdaterade redan samma eftermiddag. Det förtjänar faktiskt en eloge 👏
Två kritiska sårbarheter i PHP
Den 20 oktober meddelade PHP-projektet att de skulle åtgärda två allvarliga säkerhetsbrister i en kommande uppdatering. Båda fick riskbetyget 9,2 av 10 enligt CVSS v4.0. Den 21 oktober publicerade de säkerhetsuppdateringarna.
Sårbarheterna, CVE-2026-109618 och CVE-2026-109619, kan göra det möjligt för en angripare att köra skadlig kod på en server utan att först behöva logga in. Den ena är kopplad till felhantering när PHP får slut på minne, medan den andra beror på att intern information kan finnas kvar efter att minnet den använder har frigjorts.
Eftersom många hemsidor och publiceringsverktyg använder PHP, bland annat WordPress, var det viktigt att installera uppdateringarna så snart de blev tillgängliga.
Från brandväggar till färdiga uppdateringar
Vi väntade inte på att allt skulle vara färdigpaketerat innan vi började agera. Medan vi följde utvecklingen och inväntade de permanenta säkerhetsuppdateringarna införde vi tillfälliga skyddsåtgärder för att minska risken för angrepp.
Vi förstärkte bland annat skyddet för loopia.se och justerade våra brandväggar. När de nya PHP-versionerna släpptes vid 16-tiden kunde vi snabbt uppdatera de servrar som var redo. Det arbetet var klart vid 16.30. Därefter fortsatte arbetet med de mer komplexa serversystemen, där uppdateringarna krävde lite mer detektivarbete och tekniskt finlir.
Alla berörda servrar är uppdaterade och de nödvändiga skyddsåtgärderna är på plats.
En extern mätning från säkerhetsföretaget Melurna visar hur snabbt det gick. I deras kartläggning, som publicerades den 22 oktober, granskade de hur snabbt hemsidor uppdaterades efter att PHP-säkerhetsfixen släpptes. Bland hemsidor hos Loopia som körde PHP-versionerna 8.2–8.5 hade 99,8 procent fått den åtgärdade versionen redan efter nio timmar. Efter 24 timmar hade andelen stigit till 99,9 procent.
Det placerar Loopia bland de allra snabbaste webbhotellen i kartläggningen. Och bakom siffrorna finns ett team som jobbade intensivt för att få ut uppdateringarna så fort som möjligt.
Not all heroes wear capes. Vissa patchar servrar.
När kritiska säkerhetsbrister upptäcks är snabbhet avgörande. Samtidigt krävs noggrannhet för att säkerställa att uppdateringar fungerar som de ska och att tjänsterna fortsätter att fungera stabilt.
Därför vill vi rikta ett stort tack till våra drifttekniker och alla kollegor som snabbt ställde om, höll koll på den senaste informationen och jobbade intensivt för att skydda våra tjänster. Att hantera en akut säkerhetsfråga handlar inte bara om att trycka på en uppdateringsknapp. Det kräver planering, problemlösning, samarbete och en hel del tekniskt kunnande, särskilt när systemen är komplexa och tiden är knapp.
Det är lätt att ta en trygg och stabil hemsida för given. Bakom den ligger människor som arbetar hårt för att det ska fortsätta vara så. Den här gången vill vi ge dem lite extra strålkastarljus.
Vi brukar inte dela ut superhjältecapes på kontoret, men efter en sådan här insats kanske vi borde överväga det 🦸
Behöver du som kund göra något?
Nej. Vi har installerat de senaste säkerhetsuppdateringarna på samtliga berörda servrar och genomfört de nödvändiga skyddsåtgärderna. Du behöver alltså inte göra något med anledning av den här sårbarheten.
Vi fortsätter att övervaka våra tjänster och följa utvecklingen inom IT-säkerhet. Nya sårbarheter kan dyka upp, men du kan räkna med att vi håller koll, kavlar upp ärmarna och gör vårt bästa för att hålla dina tjänster säkra.
Du tar hand om din verksamhet. Vi tar hand om tekniken.
Tryggt. Säkert. Enkelt. Alltid hos Loopia.
