Sebastian Juul
To nyopdagede fejl i PHP lod angribere overtage servere uden adgangskode og tvang danske og europæiske myndighedssider offline onsdag.
Danmark aktiverede onsdag aften sin Nationale Operative Stab, efter at PHP Foundation udsendte en akut sikkerhedsopdatering til programmeringssproget PHP, der driver en meget stor del af nettet. Flere offentlige danske tjenester blev taget offline som en forholdsregel, før hackere nåede at udnytte hullerne.
Blandt de ramte danske tjenester var Københavns Kommune, Vejdirektoratet, DMI og skole-forældre-platformen Aula, som drives af kommune-fællesskabet Kombit, oplyser Copenhagen Post.
Regeringer i Holland, Frankrig, Finland og Canada traf samme beslutning og trak dele af deres offentlige hjemmesider ned, skriver Engadget om episoden.
Hul lader angribere køre kode uden adgangskode
De to sårbarheder er registreret som CVE-2026-109618 og CVE-2026-109619 og scorer 9,2 på den internationale CVSS-skala, der går til 10. Begge gør det muligt for en angriber uden brugerkonto eller adgangskode at køre vilkårlig kode på en webserver, der kører en ikke-opdateret version af PHP, beskriver The Hacker News.
I værste fald kan en angriber læse direkte i serverens hukommelse og høste adgangskoder, API-nøgler og certifikater fra andre brugeres anmodninger. PHP er motoren bag populære systemer som WordPress og Drupal og er dermed en kerne-byggesten på en meget stor del af nettet.
Opdateringen findes i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, og PHP-udviklerne anbefaler at opdatere med det samme. “Det eneste jeg kan sige er, at den eneste løsning er at opdatere eller patche PHP”, siger PHP-kerneudvikler Gina Peter Banyard til The Hacker News.
Danmark aktiverer kriseberedskab
Ministeren for samfundssikkerhed og beredskab Lisbeth Bech-Nielsen bekræfter aktiveringen af den Nationale Operative Stab og peger på, at offentlig viden om et sikkerhedshul altid er et kapløb mod ondsindede aktører.
“Det kan potentielt være rigtig alvorligt, hvis systemejere ikke får en sikkerhedsopdatering gjort. Hvis det ikke kan lade sig gøre lige her og nu, så må man overveje at gå offline”, siger hun til Copenhagen Post.
Hun tilføjer, at der også er en positiv side ved opdagelsen: “Det er på en måde positivt, at vi har fundet disse sårbarheder. Men fordi det er offentligt kendt, er der nogen, som vil udnytte det.”
Staben er aktiveret på laveste beredskabsniveau, hvilket betyder øget overvågning og orientering af nøglemedarbejdere, men ingen fysisk samling, oplyser Daily Northern.
Hvad betyder det, hvis en side du bruger er nede
Oplever du, at en offentlig side, din netbutik eller en tjeneste pludselig svarer med en fejl, er det sandsynligvis fordi driftsansvarlige har valgt at lukke siden midlertidigt, mens de installerer rettelsen. Det er en forholdsregel, ikke et tegn på, at siden er blevet hacket.
Kører du selv en hjemmeside baseret på PHP, er det afgørende at opdatere til en af de patchede versioner nu. Den amerikanske cybersikkerhedsmyndighed CISA opfordrer alle organisationer til at installere opdateringen hurtigst muligt.
