Angreb er i gang: Kritiske huller i PHP: EU siger sluk for din server/WEB indtil du har opdateret dette nul dages sikkerhedshul

UP2DATE: BBC siger at det er den “mest alvorlige sårbarheder, som nogensinde er blevet fundet” af kunstig intelligens (AI). Mange offentlige websites over hele EU og USA er allerede taget ned af ejerne. De har enten slukket for servere eller sat de forskellige løsninger i WordPress, Joomla, Drupal og en masse webshops, bookingssystemer m.v. Næsten alle webservere er med Linux og PHP, derfor er det særligt kritisk. Det Hvide Hus har kendt sikkerhedhullet siden den 16. okt, skriver Reuters. Mange stats-regeringsledere og organisationer opfordrer til, at man slukker for servere og installationer, indtil man har rettet fejlen. på Downtime websteder kan man se at truslen og 100% hacking bliver taget alvorligt. Herhjemme er mange kendte statslige, kommunale og virksomheder allerede nede med servicebeskeder.

Hvis du vil nedtage trafikken kan du indsætte: session.upload_progress.enabled = Off, dette skrives i PHP.INI.

EU opfordrer til at tage hjemmesider offline, og for virksomheder er det ikke kun et it problem, men også et juridisk

Udviklerne bag programmeringssproget PHP frigiver i dag kl. 16.00 en nødopdatering for to kritiske sårbarheder. EU’s cyberberedskab CERT-EU anbefaler, at hjemmesider, der ikke kan opdateres straks, tages offline. For virksomheder kan manglende handling få konsekvenser efter både GDPR og NIS2. Hullet er angiveligt er fundet og indrapporteret til PHP, der kommer med en opdatering kl. 16:00 i dag. Alle bør straks installere denne.Har du tidligere versioner af PHP er de ikke omfattet. Det skriver RTÉ og ICARE SECURITY A/S.

PHP er det programmeringssprog, som en stor del af internettet kører på, herunder WordPress, og dermed også et stort antal danske virksomheders hjemmesider, webshops og kundeportaler. Begge sårbarheder er vurderet til 9,2 på alvorlighedsskalaen CVSS v4.0, og PHP opfordrer brugerne til at opdatere, så snart opdateringen er tilgængelig.

Ifølge CERT-EU betyder scoren, at angribere kan køre ondsindet kode på sårbare servere uden at logge ind. CERT-EU opfordrer organisationer til at forberede øjeblikkelig opdatering og til at overveje at tage berørte sites offline, hvis de ikke kan opdatere. Dette er en worldwide begivenhed af de værste og vi vil givetvis se mange hacket de næste uger, men altså også allerede i dag.

Angreb er allerede i gang

Oplysningerne om sårbarhederne lækkede den 20. oktober, før de officielt skulle offentliggøres, og sikkerhedsfirmaet watchTowr bekræftede, at der er tale om fejl, der giver mulighed for fjernkørsel af kode i PHP. Sårbarhederne har fået betegnelserne CVE-2026-109618 og CVE-2026-109619 og kaldes php2shell.

Patchstack har modtaget rapporter om aktiv udnyttelse fra flere hostingpartnere, og Cloudflare oplyser, at de også ser de første angreb. Fejlen sidder i selve PHP og ikke i et bestemt program, så alle hjemmesider på en sårbar PHP version er udsat, herunder sider bygget på WordPress, Drupal, Magento, Joomla og Laravel.

“Denne her fejl er en af de mest kritiske der findes, så derfor bør advarslen følges straks”

Det siger Jesper Christiansen, Agil Udvikling A/S.

Fakta om sårbarhederne

Emne	Fakta
Betegnelse	CVE-2026-109618 og CVE-2026-109619 (php2shell)
Alvorlighed	CVSS v4.0 9,2 (kritisk)
Type	Fjernkørsel af kode uden login
Berørte versioner	PHP 5, 6, 7 og 8 ifølge watchTowr
Rettelse	21. oktober 2026 kl. 16.00 dansk tid
Advarsler fra	CERT-EU og australske ACSC
Status	Aktiv udnyttelse bekræftet

Gamle PHP versioner får ingen rettelse

PHP understøtter kun version 8.2 og nyere, så servere med PHP 8.1 eller ældre får ikke en officiel rettelse. Organisationer, der kører PHP 8.1, 8.0, 7.x eller 5.x, risikerer derfor at stå helt uden opdatering. En af PHP’s kerneudviklere har udtalt, at opdatering er den eneste reelle beskyttelse.

Det juridiske ansvar ligger hos ledelsen

For virksomheder handler sagen ikke kun om teknik. Hvis en hjemmeside eller webshop med kundedata bliver kompromitteret, fordi en kendt og varslet sårbarhed ikke er lukket, kan det have konsekvenser efter flere regelsæt.

Regelsæt	Betydning for virksomheden
GDPR artikel 32	Krav om passende tekniske og organisatoriske sikkerhedsforanstaltninger
GDPR artikel 33	Brud på persondatasikkerheden skal anmeldes til Datatilsynet inden 72 timer
NIS2-loven	Ledelsen skal godkende og overvåge cybersikkerheden og kan holdes personligt ansvarlig
Kontrakter	Kunder og samarbejdspartnere kan kræve erstatning ved datalæk eller nedbrud
Forsikring	Cyberforsikringer kan afvise dækning, hvis kendte sårbarheder ikke er lukket

NIS2-loven trådte i kraft i Danmark den 1. juli 2025 og pålægger omkring 6.000 virksomheder krav om risikostyring, hændelsesrapportering, ledelsesansvar og kontrol med leverandørkæden. Det personlige ledelsesansvar er en central nyskabelse: Ledelsen skal aktivt godkende og overvåge foranstaltningerne, hvilket gør cybersikkerhed til et bestyrelsesanliggende og ikke kun en it opgave.

Også virksomheder, der ikke selv er omfattet af NIS2, kan være forpligtet gennem kontrakter. Hvor langt forpligtelserne rækker, afhænger af formuleringen i kontrakten.

Det bør virksomheden gøre i dag

Handling	Sådan gør du
Find din PHP version	I WordPress: Værktøjer, Webstedets tilstand, Info, Server
Kontakt hostingudbyderen	Få skriftlig bekræftelse på, hvornår serveren opdateres
Opgrader gamle versioner	PHP 8.1 og ældre skal opgraderes til 8.2 eller nyere
Prioritér kritiske systemer	Start med webshops, kundeportaler og sider med persondata
Overvej at gå offline	Kan et site ikke opdateres, bør det lukkes midlertidigt
Dokumentér indsatsen	Gem dato, tidspunkt og bekræftelse på opdateringen af hensyn til GDPR og NIS2
Tjek for kompromittering	Gennemgå logfiler og ukendte filer efter opdateringen
Vurder anmeldelsespligt	Er der tegn på brud, løber fristen på 72 timer til Datatilsynet

Internetvendte systemer bør prioriteres, især servere med forretningskritiske programmer eller følsomme oplysninger.

Kilde:	RTÉ, Reuters, CERT-EU, Patchstack, Security Affairs, Sansec, ICARE SECURITY A/S, Agil Udvikling A/S, Dansk Erhverv, Legiscope, Morten Jensen, Advokat og Revisor Samvirket, AORS.DK
Kildelinks:	https://www.rte.ie/news/world/2026/1021/1596231-eu-cybersecurity/, https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/, https://securityaffairs.com/201403/security/php-prepares-emergency-fixes-for-two-critical-remote-code-execution-flaws.html, https://sansec.io/research/php2shell, https://icare.dk/php-advarsel/, https://www.danskerhverv.dk/presse-og-nyheder/nyheder/2026/februar/cybersikkerhed-er-et-direkte-ledelsesansvar/, https://www.legiscope.com/blog/nis2-danmark-gennemfoerelse.html
Fotokredit:	PHP Foreningen
Personer/Firmaer/Emner/#:	#PHP, #php2shell, #CVE2026109618, #CVE2026109619, #CERTEU, #ACSC, #watchTowr, #Patchstack, #Cloudflare, #Sansec, #WordPress, #Drupal, #Magento, #Joomla, #Laravel, #WooCommerce, #RCE, #Sårbarhed, #ITsikkerhed, #Cybersikkerhed, #GDPR, #NIS2, #Ledelsesansvar, #Datatilsynet, #Persondatasikkerhed, #JesperChristiansen, #AgilUdvikling, #ICARESECURITY, #MortenJensen, #AORS
Copyrights:	Ⓒ 2026 Copyright by https://AORS.DK/php-advarsel, kan deles ved aktivt link til denne artikel.