Torsdag 22. oktober manglede mindst 28.000 danske hjemmesider en sikkerhedsopdatering til PHP. Fredag formiddag lød tallet 21.300. Af dem kan 3.300 opdateres, men er det ikke endnu. De øvrige 18.000 kører på gamle PHP-versioner, som slet ikke kan tage imod opdateringen. Tallene kommer fra Dansk Industri (DI) og dækker kun .dk-domæner.
Indholdsfortegnelse
Opdateringen findes, men ikke til alle
PHP’s udviklere udsendte rettelser onsdag 21. oktober til versionerne 8.2, 8.3, 8.4 og 8.5. De to huller, CVE-2026-109618 og CVE-2026-109619, kan ifølge CERT-EU give en angriber mulighed for at køre kommandoer på en server uden at logge ind. De er vurderet til 9,2 på en skala til 10. Hullerne er offentligt kendte, og kriminelle leder allerede efter mål, siger Jeppe Engell, cybersikkerhedsspecialist i DI.
På de 3.300 sider, der kan opdateres, mangler nogen at trykke på knappen. De 18.000 andre kræver en større opgradering af hele systemet. DI oplyser ikke i de kilder, jeg har fundet, hvilke versioner de kører. Ifølge en oversigt fra HeroDevs er PHP 7.4, 8.0 og 8.1 udløbet, og de får ikke længere sikkerhedsrettelser. Engell siger om de ældste sider, at deres problem er meget værre, fordi de har flere andre sårbarheder.
Læs også: PHP-sårbarheden var kendt i ti uger
Der er en frist, som få taler om. Ifølge samme oversigt mister PHP 8.2 sin sikkerhedsstøtte ved udgangen af 2026. Den, der i dag opdaterer en 8.2-installation, står altså med den samme opgave igen om to måneder.
Risikoen er ikke teoretisk
Den hollandske cybersikkerhedsmyndighed NCSC undersøger de første tegn på vellykkede angreb og advarer om, at situationen hurtigt kan blive værre, skriver DutchNews den 23. oktober. Cloudflare rapporterede om en stigning i angrebsforsøg fra tusinder til millioner. Den hollandske tilsynsmyndighed AP havde endnu ikke modtaget anmeldelser om datalæk knyttet til hullerne.
DI’s egne tal har bevæget sig hurtigt. Fredag tidligt lød skønnet på omkring 8.000 sider, der kunne opdateres, og 19.000 til 20.000, der ikke kunne, ifølge DR. Fredag klokken 10.52 var det 3.300 og 18.000. DI har ikke i de offentliggjorte kilder forklaret, hvordan siderne er talt, så tallene er et skøn fra en brancheorganisation og ikke en uafhængig måling.
DI kender ikke ejerne
DI forsøger at finde ud af, hvem der står bag siderne, og at kontakte dem. Ud fra domænenavnene gætter Engell på små og mellemstore virksomheder, men kan ikke sige præcis hvilke.
Mange ved det ifølge DI ikke selv. PHP sidder i WordPress, Drupal og Joomla og i mange webshops, intranet og bookingsystemer, og en leverandør, et webbureau eller en hostingudbyder driver ofte løsningen. DI anbefaler at få skriftlig bekræftelse fra leverandøren på, at systemet er opdateret, og at lede efter gamle kampagnesider og testmiljøer.
For versioner uden support er rådet at planlægge en opgradering hurtigt og i mellemtiden overveje at lukke løsningen eller sætte en webfirewall foran. Hosting- og CDN-udbydere har ifølge Ingeniøren opdateret deres firewalls mod netop disse huller. DI’s opgørelse oplyser ikke, hvor mange af de 18.000 sider der står bag en sådan beskyttelse.
Læs også: Verdens farligste AI lækket: hvad Mythos betyder for dansk cybersikkerhed
Lukkede døre er også en regning
Offentlige tjenester valgte at lukke. Onsdag aften slukkede Kombit blandt andet Aula, og Københavns Kommune lukkede sin hjemmeside, skriver Ingeniøren. Også DMI’s tjenester var midlertidigt nede.
Samfundssikkerhedsminister Lisbeth Bech-Nielsen (SF) sagde til TV 2, at det potentielt kan være alvorligt, hvis systemejere ikke opdaterer, og at man bør overveje at gå offline, hvis det ikke kan ske med det samme.
Reglerne rammer virksomheder og producenter. Virksomheder omfattet af NIS2 (EU’s direktiv om net- og informationssikkerhed) skal håndtere sårbarheder og indberette væsentlige hændelser, og producenter skal fra 11. september 2026 indberette aktivt udnyttede sårbarheder efter Cyber Resilience Act, skriver DI.
DI efterlyser, at regeringens initiativ Cybersikker Virksomhed kommer i gang. Det skal hjælpe små og mellemstore virksomheder med it-sikkerhed. “Men vi er ikke i mål,” sagde Engell om faldet i antallet af uopdaterede sider.
Tilbage står to spørgsmål, som ingen af kilderne besvarer: hvem der ejer de 18.000 sider, og hvem der betaler, når en forældet installation er blevet et indbrud.
KILDER & METODE
Sådan er artiklen lavet. Artiklen bygger på 9 kilder. Tallene for hjemmesiderne stammer fra DI og er ikke målt uafhængigt, og metoden bag dem er ikke offentliggjort i de kilder, der er brugt. Hvilke versioner de 18.000 sider kører, og om ejerne er omfattet af NIS2, fremgår ikke af nogen af kilderne. Center for Cybersikkerhed er ikke kontaktet.
Kilder
Bornholms Tidende (Ritzau): Omkring 21.300 danske hjemmesider mangler sikkerhedsopdatering (23. oktober 2026) – tallene på 21.300, 3.300 og 18.000 samt Engells udtalelser.
Kristeligt Dagblad (Ritzau): Mindst 28.000 danske hjemmesider har fortsat sikkerhedshuller (22. oktober 2026) – de 28.000, risikoen og at DI ikke kender ejerne.
TV 2 Øst (Ritzau): 28.000 danske hjemmesider mangler fortsat sikkerhedsopdatering – de ældste siders ekstra sårbarheder og gættet på små og mellemstore virksomheder.
Nordisk Post: Danish websites PHP security updates (24. oktober 2026) – tallene fra fredag, versionerne med rettelser, DR’s tidligere skøn og lukningerne af Aula og DMI.
Dansk Industri: DI med kraftig opfordring, opdater jeres systemer nu, ikke i morgen (21. oktober 2026) – rådene til virksomhederne samt NIS2 og Cyber Resilience Act.
Ingeniøren: Alvorligt sikkerhedshul får hjemmesider verden over til at lukke (21. oktober 2026) – Kombits og Københavns Kommunes lukninger, firewalls og ministerens udtalelse til TV 2.
DutchNews: Cyber security centre warns PHP hacking situation could worsen (23. oktober 2026) – NCSC’s advarsel, Cloudflares tal og AP’s status.
Lovguiden: CERT-EU, to kritiske PHP-sårbarheder kan give fjernstyret kodeudførelse (20. oktober 2026) – CVE-numrene, vurderingen på 9,2 og at hullerne kan udnyttes uden login.
HeroDevs: PHP end of life dates and support timeline for every version (2026) – hvilke PHP-versioner der er udløbet, og at 8.2 mister sikkerhedsstøtte ved udgangen af 2026.
