Sikkerhedshul lukker hjemmesider verden over: hvad hvis det næste rammer strømmen?

Onsdag eftermiddag gik det stærkt. PHP, programmeringssproget bag en meget stor del af verdens hjemmesider og webapplikationer, udsendte nye versioner, der retter to kritiske sikkerhedshuller. Kort efter begyndte hjemmesider at forsvinde. Ikke fordi de var blevet hacket, men fordi deres ejere valgte at slukke dem, indtil de kunne opdateres.

For de fleste danskere var det tydeligste tegn, at Aula ikke virkede. Men historien er større end en forældreintra, der var nede en eftermiddag. Den handler om, hvor meget af hverdagen der hviler på software, de færreste kender navnet på.

Hvad skete der?

Den 20. oktober varslede PHP-projektet en kritisk sikkerhedsopdatering til dagen efter og opfordrede alle til at gøre sig klar. Den 21. oktober klokken 16 dansk tid kom opdateringen. Ifølge PHP-projektet kan de to huller udnyttes, så en angriber kan køre sin egen kode på serveren uden at være logget ind, og i den ene variant sker det, før hjemmesidens egen kode overhovedet går i gang.

1. 20. oktoberVarsletPHP-projektet melder to kritiske huller og en opdatering dagen efter.
2. 21. oktober, kl. 16Rettelse udeNye versioner af PHP 8.2 til 8.5 udkommer. Opdatering er eneste sikre løsning.
3. 21. oktober, eftermiddagLukket nedAula og offentlige sider i flere lande lukkes som forholdsregel.
4. Dage til månederServer for serverHver server skal opdateres. Indtil da står den åben.

Der findes ingen fuld afhjælpning. Opdatering er det eneste sikre valg.

PHP-projektet i sin sikkerhedsmeddelelse, oversat

Hvem lukkede ned?

Herhjemme lukkede kommunernes it-fællesskab Kombit Aula helt og begrænsede adgangen til bibliotekssystemet. Pressechef Lars Skov Granerud sagde til TV 2, at man ikke vidste, om der var blevet hacket, og derfor valgte at lukke. Styrelsen for Samfundssikkerhed opfordrede ifølge TV 2 systemejere til at opdatere hurtigst muligt og skrev, at det kan være nødvendigt at tage systemer offline, hvis de ikke kan opdateres inden for kort tid.

Ifølge Reuters, gengivet af TV 2, lukkede offentlige myndigheder blandt andet i Holland og Finland hjemmesider, og Wikimedia, der driver Wikipedia, tog en række systemer ned som forholdsregel. Den amerikanske cybersikkerhedsmyndighed CISA sagde ifølge samme kilde, at der ikke var tegn på, at hullerne var blevet udnyttet, men at de udgør en risiko for alle, der ikke opdaterer.

Rettelsen er ude, men hullet er ikke lukket

Det er let at tro, at sagen er løst, når PHP-projektet har udsendt en rettelse. Det er den ikke. En rettelse beskytter kun de servere, der faktisk bliver opdateret, og det sker ikke på én gang. Hver eneste server i verden, der kører PHP, skal opdateres for sig, og indtil det sker, står den åben. Det kan tage timer, dage eller måneder, og nogle bliver aldrig opdateret.

Rettelsen skal gennem en lang kæde, før den når den enkelte hjemmeside:

1. PHP-projektet udgiver rettelsen. Det skete den 21. oktober for PHP 8.2 til 8.5.
2. Linux-distributioner og leverandører pakker den. Ifølge PHP-projektet fik de rettelserne på forhånd, men hver leverandør udgiver i sit eget tempo. Et populært frivilligt pakkearkiv havde ifølge PHP-projektet ingen opdatering samme dag.
3. Docker-images bygges igen. Mange servere kører i dag i Docker-containere. En container, der kører, bliver ved med at bruge sit gamle image, indtil der findes et nyt, og containeren bygges om. Den opdaterer ikke sig selv. Venter man på et opdateret image, kan der gå timer eller dage.
4. Hostingudbydere opdaterer deres servere. En udbyder kan have tusindvis af hjemmesider, ofte på forskellige PHP-versioner. Alle skal opdateres, testes og genstartes, og det tager tid.
5. Den enkelte hjemmeside opdateres. Ejere af egne servere skal selv gøre det. Mange opdager aldrig, at de skulle.

Det er netop de mange servere, der ikke bliver opdateret, som angribere går efter. Når et hul er offentligt kendt, er det et spørgsmål om at finde dem, der ikke har lukket det.

Hvad hvis det næste hul rammer strømmen?

Det er vigtigt at sige klart: dette hul handler om hjemmesider. Elnettet styres af helt andre systemer, og der er intet, der tyder på, at PHP-hullet kan slukke for strømmen. Men angreb på netop strøm og vand er ikke teori.

I Ukraine fjernstyrede angribere afbrydere i tre regionale elselskaber inden for en halv time, og omkring 225.000 kunder mistede strømmen. Strømmen kom tilbage, men selskaberne måtte køre under begrænset drift i lang tid bagefter, skriver den amerikanske myndighed CISA. Herhjemme vurderer Forsvarets Efterretningstjeneste, at prorussiske hackere i december 2024 fik vandrør til at springe på et dansk vandværk, så nogle kunder kortvarigt stod uden vand.

Hvorfor AI ændrer billedet

Et sikkerhedshul er kun farligt, hvis nogen når at udnytte det, før den enkelte server bliver opdateret. Med alle de servere, der står åbne i dage eller måneder, er der rigeligt at gå efter, og angriberne kan i stigende grad automatisere jagten. I november 2025 beskrev AI-virksomheden Anthropic en kampagne, hvor en statsstøttet gruppe brugte AI-værktøjet Claude Code til at angribe omkring 30 organisationer. Ifølge Anthropic udførte AI'en 80 til 90 procent af arbejdet, mens mennesker kun valgte mål og godkendte de vigtigste skridt. Nogle af angrebene lykkedes, før kampagnen blev stoppet.

Det betyder ikke, at AI kan slukke Danmark i morgen. Men det betyder, at et hul, der tidligere krævede uger af specialisters arbejde at udnytte bredt, kan blive udnyttet hurtigere og af flere. Derfor handler beredskab mindre om at gætte, hvad der rammer, og mere om at kunne klare sig, uanset hvad der rammer.

Det svigter, når de digitale systemer går ned

Aula var nede en eftermiddag. Forestil dig i stedet, at både strøm og internet forsvinder i tre døgn. Sådan rammer det hverdagen, og sådan klarer du det:

Gør det nu: fem ting til dit digitale nødberedskab

1. Skriv de vigtigste numre ned på papir. Familie, naboer, læge, dyrlæge og forsikring. Læg listen ved nødradioen.
2. Hav kontanter i småt. Myndighederne anbefaler lidt mønter og småsedler og et fysisk betalingskort med en pinkode, du kan huske.
3. Hav en FM-radio, der virker uden strøm. Ved større hændelser bringer DR myndighedernes beskeder i radioen.
4. Hold telefonerne i live. En opladet powerbank pr. person og strømsparetilstand fra første time.
5. Tjek lageret til tre døgn. Vand, mad, lys, varme og medicin. Brug vores prepping liste.

Hele forløbet time for time står i 72 timers beredskab, og hvad du gør, når lyset går, står i guiden til strømsvigt.

Ofte stillede spørgsmål om PHP-sikkerhedshullet

Læs videre

• 72 timers beredskab
• Strømsvigt
• Prepping liste
• Nødradioer
• Powerbanks
• Når alt slukker på DR1

Konklusion

Rettelsen til PHP-hullet kom på et døgn, men mange servere vil stå ubeskyttede i dage eller måneder, og med AI kan angriberne finde dem hurtigere end før. Du kan ikke forudsige, hvad der rammer, men du kan sørge for, at din husstand klarer tre døgn uden strøm, internet og kortbetaling.