Säkerhetshålen i PHP: Qliora påverkas inte. Er hemsida kan göra det.

23 oktober 2026

Den 21 oktober blev två allvarliga säkerhetshål i PHP kända. Qliora påverkas inte, men många klinikers hemsidor bygger på WordPress och PHP. Så arbetar vi, och det här bör ni göra.

Den 21 oktober släppte utvecklarna bakom PHP rättelser för två allvarliga säkerhetshål, som har fått smeknamnet php2shell. Hålen kan låta en angripare ta över en webbserver utan att logga in, och kod för att utnyttja dem har redan börjat spridas. Svenska CERT-SE rekommenderar alla som använder PHP att uppdatera skyndsamt och att undersöka sina system efter tecken på intrång.

PHP är ett av webbens vanligaste programspråk. WordPress, som driver en stor del av världens hemsidor, är byggt i PHP. Frågan är därför rimlig: påverkas Qliora?

Kort svar: nej

Qliora är inte byggt i PHP. Det gäller appen ni arbetar i, mobilappen, servrarna bakom och vår webbplats. Felen sitter i PHP, och där PHP inte finns kan de inte utnyttjas.

Ni behöver alltså inte göra något i Qliora. Men många kliniker har en hemsida i WordPress, och där ser det annorlunda ut. Längre ner står vad ni bör göra med den.

Så arbetar vi

Qliora hanterar uppgifter om patienter och personal åt tandvårdskliniker. Säkerheten avgörs därför av det vi gör varje dag, inte av hur vi reagerar en vecka som den här.

• Vi vet vad systemet består av. Varje del av Qliora, tjänsterna som driver det och leverantörerna vi utbyter uppgifter med finns förtecknade. När ett nytt säkerhetshål blir känt svarar vi därför med fakta, inte med antaganden.

• Det som kommer utifrån kontrolleras. Det som andra system skickar till oss läses som uppgifter, aldrig som kod som får köras, och det kontrolleras innan det används. Det gäller oavsett vilken teknik avsändaren är byggd i.

• Varje ändring prövas automatiskt. Koden kontrolleras mot kända säkerhetshål i de byggstenar vi använder, och mot lösenord och nycklar som inte hör hemma där.

• Ett fel rättas i hela systemet. När en svaghet upptäcks åtgärdar vi den överallt där den kan finnas, inte bara där den syntes. När det går lägger vi också in en automatisk kontroll som larmar om felet skulle komma tillbaka.

• Vi arbetar efter ISO 27001, den internationella standarden för informationssäkerhet.

Har kliniken en hemsida i WordPress?

Då kör den med största sannolikhet PHP. Det är ingen anledning till panik, men till en kontroll redan i dag.

Det viktigaste att veta är att felet sitter i PHP, inte i WordPress. Att uppdatera WordPress eller dess tillägg räcker därför inte. Det är PHP på servern som måste uppdateras, och det sköter oftast ert webbhotell eller er webbyrå. Många stora webbhotell har redan gjort det, men fråga hellre än att anta.

1. Fråga den som sköter hemsidan om rättelserna för CVE-2026-109618 och CVE-2026-109619 är installerade. De rättade versionerna av PHP är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Ett webbhotell som lägger in rättelsen själv kan ha kvar sitt gamla versionsnummer, så fråga efter rättelsen och inte bara efter versionen.

2. Äldre än PHP 8.2? Då behöver hemsidan flyttas. PHP 8.1 och äldre får inga vanliga uppdateringar längre. Kör hemsidan 8.2 är det dags att planera bytet nu, eftersom den versionen slutar få säkerhetsrättelser vid årsskiftet.

3. Be dem leta efter tecken på intrång. Okända administratörskonton, nya filer på servern eller en hemsida som plötsligt skickar besökare någon annanstans ska tas på allvar.

4. Uppdatera resten samtidigt. WordPress, tema och tillägg. Ta bort tillägg ni inte använder, och slå på tvåstegsverifiering för alla som kan logga in på hemsidan.

5. Kontrollera att det finns en säkerhetskopia som går att läsa tillbaka. En kopia som ingen har provat är en förhoppning, inte en kopia.

Uppdateringen stänger dörren. Den kastar inte ut någon som redan har tagit sig in.

Formulären är det känsliga

För en klinik är hemsidan sällan bara ett skyltfönster. Där finns ofta formulär där patienter skriver namn, telefonnummer och ibland vad de söker vård för. Tar någon över servern kan de uppgifterna komma ut.

Misstänker ni att det har hänt ska det hanteras som en personuppgiftsincident: bedömas, dokumenteras och vid behov anmälas till Integritetsskyddsmyndigheten (IMY) inom 72 timmar.

Samma fråga gäller andra webbtjänster som kliniken använder. Fråga leverantören om tjänsten bygger på PHP och om den är uppdaterad.

Frågor?

Undrar ni något om Qliora är ni välkomna att kontakta oss. Hur vi skyddar uppgifterna i övrigt står på sidan Så skyddar vi uppgifterna. Och frågorna om hemsidan kan ni ställa till den som sköter den redan i dag.