PHP har lukket to kritiske sikkerhedshuller, som kan lade angribere køre kode på en webserver uden at logge ind. PHP-projektet og CERT-EU opfordrer til hurtig opdatering.
Rettelserne findes i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. De berørte grene skal opdateres til den relevante rettede version eller en nyere sikker udgave. Linux- og hostingudbydere kan også levere rettelser som tilbageførte patches.
Det er serverens PHP, der skal rettes
Hjemmesideejere bør få deres hostingudbyder til at bekræfte, at installationen er rettet. En opdatering af WordPress eller dets plugins er ikke i sig selv en PHP-opdatering.
De to huller, CVE-2026-109618 og CVE-2026-109619, vedrører hukommelseshåndtering og intern tilstand mellem forespørgsler. PHP-projektet fremhæver mod_php som særligt udsat, men advarslen omfatter PHP-installationer, der håndterer webtrafik, på tværs af flere serveropsætninger.
Ældre versioner kræver særskilt afklaring
PHP 8.1 og ældre er udgået af projektets almindelige support. Her skal udbyderen bekræfte en vedligeholdt rettelse eller hjælpe med opgradering. Midlertidige begrænsninger erstatter ikke en fuld sikkerhedsopdatering.
Kilde: PHP og den oprindelige meddelelse.
Se også PHP-projektets sikkerhedsmeddelelse.
Opdateret 23. oktober: DI advarede om mindst 28.000 danske hjemmesider
Mindst 28.000 danske hjemmesider var endnu ikke opdateret, oplyste Dansk Industri til Ritzau torsdag den 22. oktober ifølge Computerworld. Tallet beskriver situationen på det tidspunkt, ikke en ny optælling den 23. oktober.
DI’s opfordring er, at virksomheder og myndigheder med PHP-løsninger på internettet skal opdatere hurtigst muligt. For en WordPress-ejer betyder det fortsat, at hostingudbyderen skal bekræfte rettelsen af serverens PHP-installation.
Aula er åbnet igen
Aula genåbnede torsdag morgen den 22. oktober efter en forebyggende lukning onsdag. Leverandøren Kombit oplyste i forbindelse med genåbningen, at intet tydede på et sikkerhedsbrud. Lukningen var dermed ikke i sig selv dokumentation for, at Aula var blevet hacket.
Kilder: Computerworld om DI’s tal, DI’s oprindelige advarsel til Ritzau og TV 2 Kosmopol / Ritzau om genåbningen af Aula.
