I løpet av fire dager i oktober ble to kritiske hull i PHP kjent, millioner av angrepsforsøk registrert og offentlige nettsider i flere land stengt av ren forsiktighet. Sikkerhetsmiljøet kaller perioden Black October. Fellesnevneren er kunstig intelligens, som nå finner svakheter raskere enn de fleste rekker å tette dem.
For deg som har en nettside på WordPress eller et eldre CMS, er dette ikke lenger et teoretisk problem. Black October viste hvor sårbar den gamle måten å bygge nettsider på har blitt, og hvorfor stadig flere bør vurdere å fornye plattformen sin.
Hva var Black October?
Black October er ikke ett angrep, men en rekke separate hendelser som kom tett på hverandre. Tyngdepunktet var 19. til 22. oktober, men navnet brukes nå om hele måneden.
Det som bekymrer fagmiljøet mest, er tempoet. AI dukker opp på begge sider: forskere bruker det til å finne hullene, angripere bruker det til å utnytte dem.
For nettsider er det PHP2Shell som er den store saken. Men den kom ikke ut av ingenting.
AI gjør det billig å finne hull
Allerede i juli fikk WordPress en forsmak. To feil i selve WordPress, kalt wp2shell, lot en anonym angriper ta full kontroll over en nettside uten å logge inn. Angrepet virket på en helt standard installasjon uten en eneste plugin.
- Forskeren som fant feilene, brukte OpenAIs GPT-5.6 og trengte rundt ti timer.
- Et annet sikkerhetsselskap gjenskapte feilen med AI på minutter.
- Ferdig angrepskode var ute i løpet av timer, der det før tok en dag.
- Angrepene startet bare timer etter at rettelsen kom.
PHP2Shell ble også funnet med AI. Sikkerhetsselskapet Wiz brukte blant annet modeller fra Google og OpenAI, og varslet PHP om feilene i august.
Professor Junfeng Yang ved Columbia University forklarer ubalansen til Fortune: AI gjør gamle feil billigere å finne og utnytte, mens testing og utrulling av rettelser fortsatt går i menneskelig tempo.
PHP2Shell: når grunnmuren svikter
PHP2Shell er to kritiske sårbarheter i selve PHP, programmeringsspråket bak anslagsvis 70 prosent av alle nettsider og hele WordPress. Begge har alvorlighetsgrad 9,2 av 10 og lar en angriper kjøre egen kode på serveren uten å logge inn.
Feilen sitter i PHP-motoren og ikke i en bestemt applikasjon. En nettside kan derfor være sårbar selv om dens egen kode er helt i orden. WordPress.org skrev 21. oktober at feilene rammer alle servere som kjører PHP, og at ingen WordPress-oppdatering var nødvendig. Å oppdatere WordPress hjalp altså ikke. Det var serveren som måtte oppdateres.
Rettelsene kom 21. oktober i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Deretter gikk det fort.
Mange valgte å stenge heller enn å risikere et stille innbrudd. Finlands statlige IT-senter stengte offentlige nettjenester, og i Japan stanset banker, flyselskaper og jernbane deler av nettjenestene sine.
Hvorfor WordPress er et lett mål
WordPress er verdens største publiseringsløsning, og det er nettopp problemet. Ifølge W3Techs kjører WordPress på 39,6 prosent av alle nettsider. Når én feil kan utnyttes på titalls millioner nettsider samtidig, lønner det seg å automatisere angrepet. Med AI tar det nå timer.
En WordPress-side har dessuten mange steder å bli angrepet. Den står på tre lag som hver må holdes oppdatert, ofte av hver sin aktør.
Pluginene er det svakeste leddet
Patchstack telte 11 334 nye sårbarheter i WordPress-økosystemet i 2025, en økning på 42 prosent fra året før. 91 prosent satt i plugins og 9 prosent i temaer, mens selve WordPress-kjernen bare hadde seks. Antallet sårbarheter som er lette å utnytte, økte med 113 prosent.
46 prosent av sårbarhetene hadde ingen rettelse da de ble kjent. Da hjelper det ikke å oppdatere, for det finnes ingenting å oppdatere til. Mange plugins blir rett og slett forlatt: i 2024 ble 1 614 plugins og temaer fjernet fra WordPress sitt offisielle bibliotek fordi sikkerhetshull ikke ble tettet.
Webhotellet redder deg ikke
Mange tror at webhotellet tar seg av sikkerheten. I Patchstacks test stoppet vanlige hosting-forsvar bare 12 prosent av angrepene rettet mot kjente WordPress-hull. Resten slapp gjennom.
Erfaringen fra opprydding etter innbrudd peker samme vei. Av 39 594 hackede nettsider sikkerhetsselskapet Sucuri ryddet opp i 2023, kjørte 95,5 prosent WordPress. Det speiler delvis at WordPress er størst, men det viser hvor angriperne bruker tiden sin.
Gammel PHP får ikke lenger hjelp
PHP 8.1 og eldre får ikke oppdateringer fra PHP-prosjektet. For PHP2Shell kom det bare minimale rettelser i kildekoden for de eldste versjonene, og brukerne ble henvist til leverandører med egne rettelser. PHP 8.2 mister støtten 31. desember 2026.
Det gjelder alle PHP-baserte CMS-er
Fordi PHP2Shell sitter i selve PHP, er Drupal, Joomla og hjemmesnekrede PHP-løsninger like utsatt når serveren ikke er oppdatert. EUs cybersikkerhetstjeneste CERT-EU slo fast at alle PHP-installasjoner som svarer på nettforespørsler var i faresonen.
Den mest utsatte nettsiden er gjerne en som ble levert for noen år siden og deretter overlatt til seg selv. Den står på et rimelig webhotell med gammel PHP, har plugins ingen har sett på, og har automatiske oppdateringer slått av fordi noe en gang gikk i stykker. Da kan alle tre lag være utdaterte samtidig, uten at noen merker det.
Denne gangen gikk det bra
Internett kollapset ikke. Myndigheter i Tyskland, Nederland og Japan opplyste at de ikke hadde sett et eneste vellykket innbrudd via PHP2Shell, til tross for millioner av forsøk. Under wp2shell ble skaden dempet fordi WordPress tvang gjennom oppdateringer, og fordi Cloudflare og Automattic la inn beskyttelse før rettelsen var ute. Det er beskyttelse den enkelte nettsideeier ikke styrer selv.
Samtidig har tiden du har på deg, krympet fra uker til timer. Angrepsforsøkene mot PHP2Shell startet før hullene var kjent, og amerikanske CISA la dem senere inn i listen over sårbarheter som aktivt utnyttes. Ifølge Patchstack ble omtrent halvparten av de alvorligste WordPress-hullene i 2025 utnyttet innen ett døgn, med en median på fem timer. Et innbrudd trenger heller ikke merkes. En ukjent administratorkonto eller en skjult kodesnutt kan ligge lenge før noen oppdager den.
Den som oppdaterer innen timer, klarer seg. Den som oppdaterer når det passer, er blitt et enkelt mål.
Dette bør du gjøre nå
Har du en WordPress-side i dag, bør de tre første punktene gjøres med en gang. Men det er førstehjelp, ikke en løsning.
Derfor anbefaler vi Sanity
Det mest effektive tiltaket er å fjerne det angriperne går etter. Med en headless løsning på Sanity ligger innholdet i en skytjeneste som driftes av Sanity, og selve nettsiden bygges i Astro eller Next.js. Det betyr ingen PHP mot besøkende, ingen plugin-butikk og ingen wp-admin å angripe.
Headless er ikke automatisk trygt. Skjemaer, innlogging og API-er må fortsatt sikres, og en headless løsning med WordPress i bakkant trenger de samme PHP-oppdateringene som før. Men en nettside uten PHP på den offentlige serveren trengte ikke PHP2Shell-rettelsen i det hele tatt.
Sanity er SOC 2 Type 2-sertifisert og driftes på Google Cloud. Driften og sikringen av innholdsdatabasen ligger dermed hos Sanity, ikke hos webhotellet ditt. Les mer om hvordan vi jobber med Sanity.
Kilder
- Patchstack: State of WordPress Security in 2026
- Fortune: Black October, AI-angrep og PHP2Shell
- The Next Web: wp2shell og AI
- The Next Web: Millioner av forsøk, ingen bekreftede innbrudd
- Cybernews: Amazon og Cloudflare om PHP2Shell
- GovInfoSecurity: Wiz og AI-modellene bak funnet
- PPC Land: CERT-EU Security Advisory 2026-018
- Lovguiden: ENISA om PHP 8.1 og eldre
- eSEOspace: W3Techs og WordPress.org om PHP2Shell
- eSEOspace: Statiske og dynamiske nettsider, hva er tryggest?
- Lynton: Sucuri og Patchstack om forlatte plugins
- Sanity: Security & compliance
- IBTimes: Nettsider stengt verden over
- Fox News: Hva Black October er
- YourStory: Black October og PHP-hullene