To kritiske fejl i programmeringssproget PHP har fået hjemmesider verden over til at lukke midlertidigt.
Amazon har registreret angrebsforsøg flere dage før de globale nedlukninger.
Datatilsynet har modtaget anmeldelser om sikkerhedsbrud, men kan ikke oplyse, om nogen af dem har forbindelse til PHP-sårbarhederne.
Allerede fire dage før sikkerhedshullerne i PHP blev offentliggjort, var der nogen, der forsøgte at udnytte dem. Det oplyser Amazon Web Services (AWS), som den 17. oktober registrerede et angrebsforsøg mod et særligt overvåget lokkesystem.
Forsøget kom fra en IP-adresse knyttet til en anonymiseringstjeneste. Det er endnu uvist, hvem der stod bag, og hvordan vedkommende havde fået kendskab til sårbarhederne. Siden er aktiviteten vokset. AWS oplyser, at sårbarhederne nu bliver forsøgt udnyttet bredt på internettet.
Virksomheden understreger dog, at det endnu er uklart, om de observerede angreb ville være lykkedes mod almindelige hjemmesider og servere.
Dansk myndighed advarer
I går onsdag den 21. oktober advarede Styrelsen for Samfundssikkerhed om to kritiske sårbarheder i PHP, som bruges til at drive en stor del af internettets hjemmesider og webapplikationer.
Fejlene kan under bestemte betingelser give uvedkommende mulighed for at udføre kode på en sårbar server uden først at skulle logge ind, og det kan i værste fald føre til, at hackere får kontrol over systemer og adgang til fortrolige oplysninger.
Derfor opfordrede styrelsen alle berørte systemejere til at installere sikkerhedsopdateringer hurtigst muligt. Hvis en opdatering ikke kunne gennemføres hurtigt, kunne det ifølge myndigheden være nødvendigt at lukke systemerne midlertidigt.
Hvad med danskernes oplysninger?
Avisen.dk har spurgt Datatilsynet, hvad den alvorlige sikkerhedshændelse betyder for anmeldelser om brud på persondatasikkerheden.
Datatilsynet oplyser, at virksomheder og myndigheder som udgangspunkt skal anmelde et brud uden unødig forsinkelse og om muligt inden 72 timer, hvis bruddet kan indebære en risiko for borgernes rettigheder. Selve sikkerhedshullet er imidlertid ikke nok til at udløse anmeldelsespligt.
Først hvis sårbarheden bliver udnyttet, og der sker et brud på persondatasikkerheden, kan anmeldelsespligten blive aktuel. Datatilsynet bekræfter over for Avisen.dk, at myndigheden også modtog anmeldelser om sikkerhedsbrud onsdag, men kan ikke oplyse, hvilke konkrete hændelser anmeldelserne vedrører. Det er derfor ikke dokumenteret, at anmeldelserne har forbindelse til PHP-sårbarhederne.
Til sammenligning modtog Datatilsynet 9.849 anmeldelser om brud på persondatasikkerheden i hele 2025.
Manglende anmeldelse kan koste dyrt
Virksomheder og myndigheder, der undlader at anmelde et sikkerhedsbrud, selv om de har pligt til det, risikerer sanktioner. Ifølge Datatilsynets vejledning kan myndigheden blandt andet udstede påbud eller tage skridt til, at overtrædelsen bliver straffet med bøde.
Efter GDPR kan bøderammen for virksomheder nå op på 10 millioner euro, svarende til omkring 75 millioner kroner, eller to procent af virksomhedens samlede globale årsomsætning, alt efter hvilket beløb der er højest.
Der er tale om GDPR's øvre bøderammer og ikke en automatisk straf. Den konkrete sanktion afhænger blandt andet af overtrædelsens karakter og alvor.
Blev alvorligere med AI
Sagen har også afsløret, at dele af problemet var kendt længe før den aktuelle sikkerhedsalarm. PHP Foundation oplyser, at man allerede i 2024 havde identificeret tegn på den ene underliggende fejl, men ikke dengang havde fundet en konkret metode til at udnytte den til et alvorligt angreb.
Arbejdet med at rette fejlen gik flere gange i stå. Organisationen har efterfølgende erkendt, at forsinkelsen skyldtes problemer med beslutningsprocesserne og manglende ressourcer. I august 2026 dokumenterede sikkerhedsforskere ved hjælp af blandt andet kunstig intelligens, hvordan problemet kunne udnyttes til alvorlige angreb, og det fik arbejdet med sikkerhedsrettelserne til at blive opprioriteret. Onsdag den 21. oktober blev rettelserne udsendt.
Ifølge cybersikkerhedsfirmaet Wiz var de underliggende fejl tidligere meget vanskelige at udnytte. Men ved hjælp af avanceret kunstig intelligens lykkedes det sikkerhedsforskere at finde en metode, der gjorde det muligt at udnytte sårbarhederne til alvorlige angreb.
Men selv om sikkerhedshullerne nu kan lukkes, står et vigtigt spørgsmål fortsat ubesvaret:
Har nogen allerede nået at udnytte dem til at trænge ind i virkelige systemer og få adgang til oplysninger?