Illustrasjon av en nettside med lagene under, server, database og verktøy, og et skjold med hake

14/11/2026 av Hjemmesidehuset

Er nettsiden din trygg? Dette har 2026 lært oss

At nettsiden er bedriftens viktigste utstillingsvindu, er det få som stiller spørsmål ved. Langt færre vet hva den faktisk er bygget med, og hvem som passer på den etter lansering. Her er fire sikkerhetssaker fra 2026, og hva de betyr for deg.

Kort svar: Svakhetene sitter i økende grad i ting du ikke ser: PHP på serveren, databasen et KI-verktøy satte opp, eller et tredjepartsverktøy noen hos leverandøren brukte. Samtidig finner KI feil raskere. Du trenger ikke forstå teknikken, men du må vite hvem som har ansvaret for hvert lag, og at noen faktisk følger med.

2026 har vært et år der sikkerhetsnyhetene handlet mindre om at «noen hacket en nettside», og mer om det som ligger under den. Programmeringsspråket som driver de fleste nettsider. Verktøyene som bygger apper på minutter. Plattformene utviklerne bruker hver dag. Og KI, som finner feil raskere enn noen gang.

I denne artikkelen går vi gjennom fire saker fra året, hva de har til felles, og hva du som driver en vanlig bedrift bør gjøre. Det viktigste er at du vet hvilke spørsmål du skal stille.

1. PHP2Shell: hull i motoren under nettsiden

PHP er programmeringsspråket som driver WordPress og en stor del av nettsidene der ute. De fleste bedriftseiere har aldri hørt om det, og det er helt greit, så lenge noen andre holder det oppdatert.

Den 21. oktober 2026 slapp PHP-prosjektet nødoppdateringer for to kritiske sårbarheter, samlet kalt PHP2Shell. Begge fikk 9,2 av 10 i alvorlighetsgrad, og de kunne la en angriper kjøre kode på serveren uten å logge inn.

Detaljene lakk ut dagen før rettelsene kom. Ifølge Kaspersky registrerte Cloudflare flere tusen angrepsforsøk ti timer før sårbarhetene ble offentliggjort, og millioner av forsøk innen 22. oktober. Den 26. oktober la det amerikanske cybersikkerhetsbyrået CISA begge inn på listen over sårbarheter som er bekreftet utnyttet.

Hva betyr dette for deg? Først og fremst at det ikke hjelper å oppdatere WordPress og utvidelsene. Det er PHP på serveren som må oppdateres, og det er som regel webhotellet eller leverandøren som gjør det. Det er også verdt å vite at PHP 8.1 ikke lenger får sikkerhetsoppdateringer, og at PHP 8.2 mister støtten 31. desember 2026.

Gjør dette: Spør leverandøren hvilken PHP-versjon nettsiden kjører på, og om PHP2Shell er tettet.

2. Lovable og Supabase: appen virker, men alle kan lese dataene

Med Lovable kan du beskrive en app eller nettside og få den ferdig på timer. Det er imponerende, og for mange er det et rimelig alternativ til å leie inn en utvikler.

Dataene lagres som regel i Supabase, en database som nettleseren snakker direkte med. Da må tilgangsreglene (Row Level Security) være slått på og satt opp riktig. Dersom de ikke er det, kan hvem som helst lese tabellene. Lovable har siden slutten av 2025 også egne databasefunksjoner, men det er Supabase-oppsettet sakene under handler om.

I november skrev Shifter om funnene til det tyske sikkerhetsselskapet Crissy Field og avisen Handelsblatt. De gikk gjennom 159 041 Lovable-prosjekter publisert mellom desember 2025 og september 2026. Av de 34 545 som brukte Supabase, hentet 24 664 data uten innlogging.

Over 7 000 nettsteder viste personopplysninger til alle som besøkte dem, blant annet passnumre, private chattemeldinger, betalingsdata, hjemmeadresser og gyldige billettkoder.

Forskerne understreker at utvalget ikke er representativt for alle Lovable-apper, og at de ikke fant bevis for misbruk. Årsaken er heller ikke ny: Lovables KI-agent lar ofte tilgangsreglene være av når den lager tabellene, og appen fungerer likevel i forhåndsvisningen. Allerede i 2025 fant en forsker 170 Lovable-apper med samme feil.

I tillegg hadde Lovable selv en feil i plattformen som rammet prosjekter laget før november 2025: Kildekoden kunne hentes ut av andre, og i den lå det ofte innloggingsnøkler til databasen.

La oss ta et eksempel. Tenk deg en frisørsalong som har fått laget en bookingløsning med et KI-verktøy. Kundene kan bestille time, og alt ser ut til å fungere. Men tabellen med navn, telefonnumre og timeavtaler er åpen for alle som vet hvor de skal lete. Salongen merker ingenting, for appen gjør jo det den skal. Det er nettopp det som gjør feilen så lumsk.

Lovables svar er at sikkerhet er et delt ansvar, og vilkårene legger ansvaret på kundene. Selskapet har lovet en bedre sikkerhetsløsning for ikke-tekniske brukere i november. For norske virksomheter betyr det at ansvaret for dataene ligger hos den som eier appen, ikke hos verktøyet som laget den.

Poenget er ikke at KI-verktøy er farlige. Poenget er at den som skriver beskrivelsen, ofte ikke vet hva som må låses, og da merker man det ikke før det er for sent.

Gjør dette:

Har du laget noe med Lovable eller lignende: Sjekk at Row Level Security er på for alle tabeller med personopplysninger, og bytt nøkler hvis prosjektet er fra før november 2025.
Ikke ta imot ekte kundedata før noen som kan sikkerhet, har gått gjennom tilganger og innlogging.

3. Vercel: innbruddet kom via et KI-verktøy

Vercel er plattformen bak Next.js og brukes av tusenvis av utviklere til å publisere moderne nettsider og apper. Den 19. april 2026 bekreftet selskapet at noen hadde fått uautorisert tilgang til interne systemer.

Inngangen var ikke Vercel selv, men Context.ai, et KI-verktøy en Vercel-ansatt brukte. Ifølge sikkerhetsselskapet Hudson Rock hadde en ansatt hos Context.ai fått skadevare som stjeler innlogginger. Context.ai har bekreftet at én stjålet tilgangsnøkkel ble brukt til å komme inn i Vercels Google Workspace. Derfra kom angriperen videre inn i interne systemer, og Vercel kontaktet berørte kunder direkte. Saken ble meldt avsluttet 16. oktober 2026.

Nå tenker du kanskje at dette er et problem for store teknologiselskaper. Men lærdommen gjelder like mye for en liten bedrift: Hver app eller KI-tjeneste du gir tilgang til Google- eller Microsoft-kontoen din, er en mulig dør inn. Og det er lett å glemme hvilke tilganger man har gitt.

Gjør dette:

Gå gjennom hvilke apper og KI-verktøy som har tilgang til jobbkontoene, og fjern dem du ikke bruker.
Spør leverandøren hvordan de styrer hvilke verktøy de ansatte kobler til systemene som drifter nettsiden din.

4. KI finner svakhetene raskere, for begge sider

KI har blitt svært god til å lese kode og finne feil. Anthropic oppga tidlig i 2026 at modellen deres hadde funnet over 500 alvorlige, ukjente sårbarheter i åpen kildekode. Det er selskapets egne tall, men hver feil ble kontrollert av mennesker før den ble rapportert.

PHP2Shell er et konkret eksempel. Ifølge Kaspersky så PHP-utviklerne tegn på en av feilene allerede i 2024, men klarte ikke å vise at den var farlig. I august 2026 brukte en forsker hos Calif en KI-modell til å bevise at den ga tilgang til serveren uten innlogging, og samme dag kom en uavhengig rapport om samme feil fra OpenAI.

Google melder at KI endrer både tempoet og typen sårbarheter som blir funnet. Halvparten av sårbarhetene Google mener ble funnet av KI, lar en angriper kjøre kode eksternt, mot 26 prosent av de andre. Samtidig ble utnyttelsen av høyrisiko-sårbarheter mer enn doblet, fra 28 i hele 2025 til 75 i de første åtte månedene av 2026. Ifølge Google skyldes økningen mest at kjente feil blir tatt i bruk raskere, ikke nye feil funnet av KI.

Er dette bra eller dårlig? Begge deler. Det er bra at feilene blir funnet. Men flere funn betyr flere oppdateringer, og kortere tid fra en feil blir kjent til den blir utnyttet. Den som oppdaterer en gang i måneden, kommer til å ligge etter.

Gjør dette: Velg drift der sikkerhetsoppdateringer går automatisk og raskt, og der noen følger med når en stor sak som PHP2Shell kommer.

Bør jeg spørre hva nettsiden er bygget med?

Ja. KI har blitt en vanlig del av hvordan nettsider og apper lages og driftes, og det er ikke noe galt i det. Verktøy som Lovable gjør det mulig å lage ting raskt og rimelig, og mange bruker dem på en god måte.

Men som kunde ser du det sjelden. Det står ikke i tilbudet hvilke verktøy som er brukt, og det er heller ikke vanlig å spørre. Lovable- og Vercel-sakene viser at det er nettopp verktøyene du ikke vet om, som kan bli døren inn. Og ansvaret for kundenes personopplysninger er ditt, uansett hvem som har laget løsningen.

Før du signerer med en leverandør, eller neste gang du snakker med den du har, bør du derfor stille disse spørsmålene:

Er nettsiden eller deler av koden laget med KI-verktøy, og hvem har gått gjennom den før lansering?
Hvilke tredjepartstjenester og KI-verktøy har tilgang til systemene som drifter nettsiden?
Hvor lagres dataene fra skjemaene, og finnes det databehandleravtale for alle ledd?
Hvem følger med på sikkerhetsoppdateringer etter at nettsiden er lansert?

Et godt svar er ikke «vi bruker ikke KI». Et godt svar er at leverandøren vet hva de bruker, og kan forklare hvordan det er sikret.

Fellesnevneren: lagene du ikke ser

Ser vi de fire sakene under ett, er mønsteret tydelig. Ingen av dem handlet om selve nettsiden du ser i nettleseren. Alle handlet om et lag under eller rundt den.

Serveren (PHP2Shell): Ansvaret ligger hos webhotellet eller leverandøren. Spør: «Hvilken PHP-versjon kjører vi, og er den oppdatert?»
Databasen (Lovable og Supabase): Ansvaret ligger hos deg som eier appen. Spør: «Er tilgangsreglene slått på?»
Verktøyene rundt (Vercel og Context.ai): Ansvaret ligger hos leverandøren og deg. Spør: «Hvilke apper har tilgang til kontoene våre?»
Tempoet (KI-funn): Ansvaret ligger hos leverandøren. Spør: «Hvor raskt kommer sikkerhetsoppdateringene?»

Personvern: en datalekkasje er også et GDPR-avvik

Kontaktskjemaet, nyhetsbrevlisten og bookingen samler inn personopplysninger. Dersom de lekker, er det et avvik etter personvernforordningen. Da skal du som hovedregel melde fra til Datatilsynet innen 72 timer etter at du ble klar over det, med mindre det er lite sannsynlig at det gir risiko for dem det gjelder, og i alvorlige tilfeller også varsle dem det gjelder. Det gjelder også når feilen ligger i et verktøy du har brukt: Ansvaret er ditt.

Datatilsynet merker trykket. Klagene fra privatpersoner økte fra 902 i 2024 til 1 848 i 2025, blant annet fordi KI gjør det enklere å skrive en klage.

Sjekkliste: 9 ting du kan gjøre denne uken

Listen under kan du gå gjennom selv, eller sammen med leverandøren din.

Spør leverandøren hvilken PHP-versjon nettsiden kjører på, og om PHP2Shell er tettet.
Spør hva nettsiden er bygget med, inkludert KI-verktøy, og hvem som har sjekket den.
Har du noe laget med Lovable eller lignende: Sjekk Row Level Security i Supabase, og bytt nøkler hvis prosjektet er fra før november 2025.
Ikke ta imot ekte kundedata i en KI-bygd app før noen har sett over den.
Gå gjennom hvilke apper og KI-verktøy som har tilgang til Google- eller Microsoft-kontoen, og fjern dem du ikke bruker.
Slå på tofaktor på e-post, hos domeneregistraren og på innloggingen til nettsiden.
Sjekk at SSL-sertifikatet fornyes automatisk.
Slett utvidelser du ikke bruker, og gamle skjemahenvendelser du ikke trenger.
Skriv ned hvem du ringer hvis noe skjer, og hvem som melder avvik til Datatilsynet.

Ofte stilte spørsmål

Hva var PHP2Shell?

To kritiske sårbarheter i PHP som ble rettet 21. oktober 2026. De kunne la en angriper kjøre kode på serveren uten å logge inn. Løsningen er å oppdatere PHP på serveren, ikke bare WordPress.

Er WordPress utrygt etter PHP2Shell?

Nei. Feilen satt i PHP, ikke i WordPress. Men serveren nettsiden ligger på, må være oppdatert.

Er det trygt å lage nettside med Lovable?

Det kan være, men du må selv sørge for at databasen er låst. Skal siden håndtere kundedata, bør noen som kan sikkerhet, se over den først.

Ble Vercel-kunder rammet?

Vercel kontaktet berørte kunder direkte, og saken ble meldt avsluttet 16. oktober 2026. Bruker du Vercel, sjekk sikkerhetsmeldingen deres og bytt nøkler hvis du ble varslet.

Må jeg melde fra til Datatilsynet hvis nettsiden blir hacket?

Hvis personopplysninger kan ha kommet på avveie, ja, som hovedregel innen 72 timer. Er du usikker, meld heller enn å la være.

Mer om sikkerhet og personvern

Vil du vite hvordan nettsiden din står seg?

Hos Hjemmesidehuset er SSL og teknisk support inkludert i alle pakker, og nettsidene driftes hos en europeisk leverandør. Er du allerede kunde, kontakt support, så hjelper vi deg. Har du en eldre nettside du er usikker på, kan du bestille et gratis og uforpliktende utkast til en ny.

Bestill gratis utkast Kontakt support