WordPress-säkerhet och uppdateringar 2026: det här behöver du som sajtägare ha koll på

Den typiska WordPress-sajten som blir hackad drabbas inte av en avancerad, riktad attack. Det vanliga är något betydligt mer vardagligt: ett plugin med ett känt säkerhetshål som ingen har uppdaterat, en inloggning med svagt eller återanvänt lösenord, eller en sajt som helt enkelt inte har fått någon tillsyn på länge. Skyddet handlar därför mindre om dyra säkerhetsprodukter och mer om rutin: kontrollerade uppdateringar, bevakning, säkerhetskopior som går att återställa och en person eller leverantör som uttryckligen har ansvaret.

Vad hoten faktiskt är

Sårbara plugin och teman

Varje plugin är kod från en extern leverantör, och många företagssajter har dussintals. När ett säkerhetshål upptäcks publiceras det tillsammans med en rättelse. Från den stunden börjar automatiserade verktyg leta efter sajter som fortfarande kör den sårbara versionen. Den som uppdaterar inom några dagar klarar sig i regel; den som väntar i månader är ett lätt mål. Plugin som har slutat underhållas är en särskild risk, eftersom inga rättelser kommer alls.

Svaga inloggningar

Robotar provar inloggningar mot WordPress-sajter dygnet runt. Återanvända lösenord, gemensamma administratörskonton och gamla konton för tidigare anställda eller tidigare byråer är vanliga vägar in. Tvåstegsverifiering, alltså en engångskod i mobilen utöver lösenordet, stoppar i praktiken den här typen av försök.

Ouppdaterade sajter

Det gäller inte bara plugin. Även WordPress själv, temat och PHP – programspråket som WordPress körs på och som webbhotellet tillhandahåller – behöver hållas aktuella. En PHP-version vars stöd har upphört får inga säkerhetsrättelser alls.

Vad är nytt 2026

Angripare använder i ökande grad automatisering och AI för att hitta sårbara sajter och skriva trovärdiga nätfiskemejl. Det ändrar inte vad som skyddar, men tiden mellan att ett säkerhetshål blir känt och att det utnyttjas har blivit kortare. Det har också hänt att själva pluginet har kapats, så att en skadlig version har spridits som en vanlig uppdatering. Det bästa skyddet mot det är att ha få plugin, från leverantörer som sköter dem aktivt.

Vad det kostar att låta bli

Ett intrång märks sällan direkt. Vanliga följder är dolda skräpsidor och länkar som drar ner placeringarna i Google, besökare som skickas vidare till bedrägerisidor, varningar i sökresultatet och att webbhotellet stänger av kontot. Om kunduppgifter har läckt kan det vara en personuppgiftsincident som enligt GDPR ska anmälas till Integritetsskyddsmyndigheten inom 72 timmar. I en webbutik kan betalsteget manipuleras.

Själva saneringen är ofta det minsta problemet. Förlorad försäljning, tappade sökpositioner, tid för att reda ut vad som hänt och kundernas förtroende väger tyngre. Saknas en ren säkerhetskopia kan sajten behöva byggas om. Jämför det med löpande skötsel: förvaltningsavtal hos svenska byråer med publika priser ligger ungefär mellan 400 och 5 000 kr i månaden, beroende på sajtens storlek och vad som ingår.

Varför uppdateringar spelar roll – och varför de ibland går fel

Uppdateringar innehåller säkerhetsrättelser, buggfixar och anpassningar till nyare PHP-versioner. Att låta bli är därför inget alternativ. Samtidigt är det inte riskfritt att uppdatera: ett plugin kan krocka med ett annat, ett tema kan sluta fungera med en ny WordPress-version och en webbutiks kassa kan sluta ta emot betalningar. Det är därför många sajtägare skjuter upp uppdateringarna, och det är så sajter blir sårbara.

Lösningen är att uppdatera ofta men kontrollerat:

• Ta en säkerhetskopia innan något uppdateras.
• Testa uppdateringarna i en kopia av sajten (en så kallad staging-miljö) innan de går ut på den riktiga sajten.
• Kontrollera efteråt de flöden som drar in pengar: formulär, kassa och inloggning.
• Prioritera rättelser för säkerhetshål som redan utnyttjas. De ska in inom dagar, inte vid nästa planerade tillfälle.

Automatiska uppdateringar kan fungera för en enkel informationssajt. För webbutiker och sajter med integrationer vill man ha mer kontroll. Om en uppdatering ändå slår ut sajten finns en genomgång av hur man felsöker när sajten har gått sönder efter en uppdatering på vår tekniska systersajt.

Det här ska vara på plats

• En uppdateringsrutin med test i kopia och en tydlig plan för akuta säkerhetsuppdateringar.
• Säkerhetskopior som lagras på en annan plats än webbhotellet och där återställningen faktiskt har provats.
• Personliga inloggningar med tvåstegsverifiering för alla med administratörsbehörighet, och rensning av gamla konton.
• Få och välskötta plugin. Det som inte används tas bort, inte bara inaktiveras.
• En aktuell PHP-version hos webbhotellet.
• Bevakning av kända sårbarheter i just era plugin, och övervakning som larmar om sajten går ner eller förändras.
• En brandvägg för webbtrafik (WAF), ett filter som stoppar känd skadlig trafik innan den når sajten. Den finns ofta hos webbhotellet eller som en tjänst framför sajten.
• En enkel incidentplan: vem ni ringer, var kopian finns och vem som kontaktar kunder eller myndigheter vid behov.

Vem ansvarar?

Den vanligaste luckan är inte teknisk utan organisatorisk. Byrån som byggde sajten levererade och gick vidare, webbhotellet utgår från att kunden sköter WordPress och marknadsavdelningen tror att IT gör det. Ansvaret ser i regel ut så här:

• Webbhotellet ansvarar för servern och ofta för grundläggande säkerhetskopior av kontot. De ansvarar inte för era plugin, ert tema eller era användarkonton.
• Ni eller er leverantör ansvarar för WordPress, plugin, tema, användare och innehåll.
• Ni som företag är alltid personuppgiftsansvariga för de kunduppgifter sajten samlar in.

Be om ett skriftligt svar på tre frågor: vem uppdaterar och hur ofta, var finns säkerhetskopiorna, och vem återställer sajten om något händer en fredagskväll.

Hur du vet att det sköts

• Du får en kort rapport varje månad om vad som har uppdaterats, eventuella incidenter och status för säkerhetskopiorna.
• Leverantören kan svara på när återställning senast testades.
• När du loggar in finns inga uppdateringar som har väntat i veckor och inga administratörskonton du inte känner igen.
• Det finns extern övervakning som larmar någon annan än dig. Vi har själva byggt Ravnsight för övervakning och felsökning av webbplatser.

Vår rekommendation

Se WordPress-säkerhet som löpande underhåll, inte som ett engångsprojekt eller en produkt man köper. Har ni egen kompetens och tid kan ni sköta det internt med rutinerna ovan. Har ni inte det är det i regel billigare att lägga ansvaret på en leverantör än att hantera ett intrång. I vårt serviceavtal för WordPress ingår testade uppdateringar, säkerhetsbevakning, övervakning och säkerhetskopior med provad återställning till en fast månadskostnad. Vi går gärna igenom hur det ser ut för er sajt i dag.