Kritiske huller i PHP: 28.000 danske hjemmesider mangler opdatering

Onsdag den 21. oktober 2026 udsendte PHP-projektet rettelser til to kritiske sikkerhedshuller, som kan give en angriber mulighed for at køre sin egen kode på en webserver uden at logge ind. PHP er det programmeringssprog, som bl.a. WordPress, Drupal, Joomla og Magento kører på, så hullerne gælder mange almindelige hjemmesider og webshops. I går oplyste Dansk Industri, at mindst 28.000 danske hjemmesider endnu ikke var opdateret, og i dag er tallet det samme.

Alle hjemmesider med PHP skal opdateres

Hullerne har de officielle numre CVE-2026-109618 og CVE-2026-109619 og er blevet kendt som PHP2Shell. Ifølge PHP-projektet er alle installationer, der svarer på trafik fra nettet, i risiko. PHP er meget udbredt. Ifølge W3Techs kører 69,3 procent af de hjemmesider, hvor man kender sproget på serveren, med PHP.

Rettelsen ligger i versionerne 8.5.12, 8.4.27, 8.3.36 og 8.2.35. PHP skriver i sin sikkerhedsmeddelelse, at der ikke findes nogen fuld nødløsning, og at en opdatering er det eneste sikre valg.

Angrebsforsøg begyndte, før hullerne blev kendt

Ifølge sikkerhedsfirmaet Tenable så Amazon et forsøg på at udnytte hullerne mod sit netværk af lokkeservere, såkaldte honeypots, allerede lørdag den 17. oktober, fire dage før de blev offentliggjort. Tirsdag lækkede hullernes numre på nettet, og PHP rykkede derfor udgivelsen en dag frem. Onsdag meldte netværksfirmaet Cloudflare, at de kunne se de første angreb dukke op. PHP Foundation, organisationen bag sproget, har takket bl.a. firmaerne Calif, OpenAI og Wiz for at finde og melde fejlene, og både Calif og Wiz har fortalt, at de brugte AI-modeller i arbejdet.

"Hullerne er offentligt kendt, så de kriminelle er allerede i gang med at lede. Det er et kapløb, og lige nu er det de kriminelle, der fører," sagde Jeppe Engell, cybersikkerhedsspecialist i Dansk Industri, i går til Ritzau.

Danske myndigheder lukkede deres egne sider

Onsdag lukkede bl.a. Københavns Kommune, Vejdirektoratet og DMI deres hjemmesider for en sikkerheds skyld. Samme aften oplyste Ministeriet for Samfundssikkerhed og Beredskab, at Den Nationale Operative Stab, myndighedernes fælles krisestab, var gået i informationsberedskab, det laveste af tre niveauer. Minister for samfundssikkerhed og beredskab Lisbeth Bech-Nielsen understregede, at der ikke er tale om et cyberangreb, men om en sårbarhed, der potentielt kan få alvorlige konsekvenser. Til DR sagde hun, at "døren står vidt åben" på de sider, der ikke er opdateret.

Styrelsen for Samfundssikkerhed opfordrer alle systemejere til at opdatere hurtigst muligt og skriver: "Hvis det ikke er muligt at opdatere inden for en kort tidshorisont, kan det være nødvendigt at tage systemer offline, indtil de kan opdateres."

Op til 20.000 danske sider kører for gammel PHP

Ifølge Jeppe Engell kan 8.000 af de danske hjemmesider opdateres, men er det ikke blevet. Mellem 19.000 og 20.000 kører så gamle udgaver af PHP, at de ikke kan bruge rettelsen. "Deres udgaver af det her system har endnu flere sårbarheder," siger han. Ud fra sidernes navne gætter han på, at det er små og mellemstore virksomheder.

PHP 8.1 og ældre får ikke længere opdateringer fra PHP-projektet. Til netop disse to huller har PHP's sikkerhedsteam dog lavet minimale rettelser til kildekoden for 7.4, 8.0 og 8.1, og nogle leverandører tilbyder rettelser til de gamle versioner. Ellers er vejen at opgradere til en version, der stadig bliver vedligeholdt. Også PHP 8.2 er på vej ud: Den får ingen sikkerhedsrettelser efter 31. december 2026.

Det kan I gøre i dag

• Spørg jeres webhotel, webbureau eller IT-leverandør, hvilken PHP-version jeres hjemmeside og webshop kører, og om den er opdateret til 8.5.12, 8.4.27, 8.3.36 eller 8.2.35.
• Kører siden PHP 8.1 eller ældre, så aftal en plan for at flytte den til en nyere version. Kan den ikke opdateres inden for kort tid, så overvej at lukke den midlertidigt, som styrelsen også peger på.
• Spørg også, om de har sat indstillingen session.upload_progress.enabled til 0. PHP anbefalede det i dag frem til næste udgivelse for at lukke endnu en angrebsvej, som PHP selv kalder usandsynlig.
• Kører siden PHP 8.2, så planlæg opgraderingen inden 31. december 2026.
• Find ud af, om I bruger PHP andre steder, fx i portaler eller i løsninger hos eksterne leverandører.
• Aftal, hvem der holder øje med opdateringer fremover.

To af de ni nationale råd, som Styrelsen for Samfundssikkerhed og Cybersikkerhedspagten har lavet til virksomheder med færre end 50 ansatte, lyder netop: "Få overblik over jeres it-systemer, værdifulde data og leverandører" og "Hold jeres it opdateret". Vi rådgiver om IT-sikkerhed og kan hjælpe jer med at få overblik over, hvad jeres systemer kører på, og hvem der har ansvaret for at opdatere dem.

Kilder

• News Archive - 2026, PHP
• php2shell (CVE-2026-109618, CVE-2026-109619): Frequently asked questions about critical PHP remote code execution vulnerabilities, Tenable
• Organisationer skal være opmærksomme: Kritisk sikkerhedsopdatering til PHP, Styrelsen for Samfundssikkerhed
• Den Nationale Operative Stab er aktiveret på laveste niveau, Kristeligt Dagblad (Ritzau)
• 28.000 danske hjemmesider mangler fortsat sikkerhedsopdatering, DR (Ritzau)
• 9 råd om digital sikkerhed, Sikkerdigital.dk (Styrelsen for Samfundssikkerhed)