Alvorlige kritiske huller i PHP: EU opfordrer til at tage hjemmesider offline. Path frigives senere i dag kl. 16:00
UP2DATE: Mange offentlige websites over hele EU og USA er allerede taget ned af ejerne. De har enten slukket for servere eller sat de forskellige løsninger i WordPress, Joomla, Drupal og en masse webshops, bookingssystemer m.v. Hvis du vil nedtage trafikken kan du indsætte: session.upload_progress.enabled = Off der indsættes i PHP.INI. Dem som er nede nu er: Aula, DMI, KK.DK, Vejdirektorattet samt masser af statsinstitutioner i hele EU.
To alvorlige sårbarheder rammer WordPress, webshops og millioner af hjemmesider verden over
Udviklerne bag programmeringssproget PHP frigiver i dag en nødopdatering for to kritiske sårbarheder. EU’s cyberberedskab CERT-EU anbefaler, at hjemmesider, der ikke kan opdateres straks, tages offline. Det skriver RTÉ og ICARE SECURITY A/S
BBC siger at det er den “mest alvorlige sårbarheder, som nogensinde er blevet fundet” af kunstig intelligens (AI).
PHP er det programmeringssprog, som en stor del af internettet kører på, herunder WordPress. Begge sårbarheder er vurderet til 9,2 på alvorlighedsskalaen CVSS v4.0, og PHP opfordrer brugerne til at opdatere, så snart opdateringen er tilgængelig.
Ifølge CERT-EU betyder en score på 9,2, at angribere kan køre ondsindet kode på sårbare servere uden at logge ind. CERT-EU opfordrer organisationer til at forberede øjeblikkelig opdatering og til at overveje at tage berørte sites offline, hvis de ikke kan opdatere.
Angreb er allerede i gang
Sårbarhederne skulle egentlig først have været offentliggjort senere, men oplysningerne lækkede den 20. oktober, og sikkerhedsfirmaet watchTowr bekræftede, at der er tale om fejl, der giver mulighed for fjernkørsel af kode i PHP. Sårbarhederne har fået betegnelserne CVE-2026-109618 og CVE-2026-109619 og kaldes php2shell.
Situationen er nu alvorlig. Patchstack har modtaget rapporter om aktiv udnyttelse fra flere hostingpartnere, og Cloudflare oplyser, at de også ser de første angreb. Fejlen sidder i selve PHP og ikke i et bestemt program, så alle hjemmesider på en sårbar PHP version er udsat, herunder sider bygget på WordPress, Drupal, Magento, Joomla og Laravel.
“Denne her fejl er en af de mest kritiske der findes, så derfor bør advarslen følges straks”
Det siger Jesper Christiansen, Agil Udvikling A/S.
Fakta om sårbarhederne
| Emne | Fakta |
|---|---|
| Betegnelse | CVE-2026-109618 og CVE-2026-109619 (php2shell) |
| Alvorlighed | CVSS v4.0 9,2 (kritisk) |
| Type | Fjernkørsel af kode uden login |
| Berørte versioner | PHP 5, 6, 7 og 8 ifølge watchTowr |
| Rettelse | 21. oktober 2026 kl. 16.00 dansk tid |
| Advarsler fra | CERT-EU og australske ACSC |
| Status | Aktiv udnyttelse bekræftet |
Gamle PHP versioner får ingen rettelse
Et særligt problem er, at PHP kun understøtter version 8.2 og nyere, så servere med PHP 8.1 eller ældre får ikke en officiel rettelse. Organisationer, der kører PHP 8.1, 8.0, 7.x eller 5.x, risikerer derfor at stå uden opdatering fra PHP selv.
Der er uenighed om midlertidige løsninger. En af PHP’s kerneudviklere har udtalt, at opdatering er den eneste reelle beskyttelse.
ICARE SECURITY anbefaler
ICARE SECURITY A/S anbefaler alle virksomheder med hjemmesider, webshops eller interne systemer på PHP at handle i dag:
| Handling | Sådan gør du |
|---|---|
| Find din PHP version | I WordPress: Værktøjer, Webstedets tilstand, Info, Server |
| Kontakt din hostingudbyder | Få skriftlig bekræftelse på, hvornår serveren opdateres |
| Opgrader gamle versioner | PHP 8.1 og ældre skal opgraderes til 8.2 eller nyere |
| Prioritér kritiske systemer | Start med webshops, kundeportaler og sider med persondata |
| Overvej at gå offline | Kan et site ikke opdateres, bør det lukkes midlertidigt |
| Tjek for kompromittering | Gennemgå logfiler og ukendte filer efter opdateringen |
Internetvendte systemer bør prioriteres, især servere med forretningskritiske programmer eller følsomme oplysninger.
| Kilde: | RTÉ, Reuters, CERT-EU, Security Affairs, Patchstack, Sansec, Cyber Daily, BigGo Finance, ICARE SECURITY A/S, ICARE.DK |
| Kildelinks: | https://www.rte.ie/news/world/2026/1021/1596231-eu-cybersecurity/ |
| Fotokredit: | PHP Organisationen |
| Personer/Firmaer/Emner/#: | #PHP, #php2shell, #CVE2026109618, #CVE2026109619, #CERTEU, #ACSC, #watchTowr, #Patchstack, #Cloudflare, #Sansec, #WordPress, #Drupal, #Magento, #Joomla, #Laravel, #WooCommerce, #RCE, #Sårbarhed, #ITsikkerhed, #Cybersikkerhed, #Hosting, #ICARESECURITY |
| Copyrights: | Ⓒ 2026 Copyright by https://ICARE.DK/kritiske-huller-i-php-eu-opfordrer-til-at-tage-hjemmesider-offline, kan deles ved aktivt link til denne artikel. |
