Nettsteder hos myndigheter og virksomheter i flere europeiske land ble onsdag 21. oktober tatt midlertidig offline etter at to kritiske sikkerhetsfeil i programmeringsspråket PHP ble offentlig kjent.
Sårbarhetene, som er registrert som CVE-2026-109618 og CVE-2026-109619, har fått alvorlighetsgraden 9,2 av 10. De kan gjøre det mulig for en angriper å kjøre skadelig kode på en sårbar server uten å måtte logge inn. Konsekvensene kan omfatte tyveri av data, endring av nettsteder og full overtakelse av berørte systemer.
PHP brukes i en stor del av internettets nettsteder og nettapplikasjoner. Risikoen gjelder særlig installasjoner som mottar forespørsler fra nettet. PHP-prosjektet har nå publisert rettelser i versjonene PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, og ber alle brukere om å oppdatere umiddelbart.
I Frankrike ble statlige nettsteder satt i forebyggende vedlikeholdsmodus, mens organisasjoner i blant annet Danmark, Finland, Nederland og Tsjekkia også tok tjenester ned. Tiltakene ble gjennomført for å redusere angrepsflaten før oppdateringene kunne installeres og systemene kontrolleres.
EUs beredskapsmiljø for cybersikkerhet, CERT-EU, anbefaler virksomheter å prioritere internettvendte PHP-systemer. Dersom en oppdatering ikke kan installeres raskt, bør tjenestene isoleres fra offentlige nettverk eller tas offline midlertidig. Også eldre PHP-versjoner som ikke lenger støttes, må erstattes eller skjermes særskilt.
Sikkerhetsmyndigheter og teknologiselskaper advarer samtidig om at det allerede finnes tidlige forsøk på å utnytte feilene. Derfor er brannmurregler og annen midlertidig beskyttelse ikke en fullgod erstatning for oppdatering. For nettstedseiere er hovedrådet klart: Kartlegg PHP-bruken, oppdater berørte systemer og overvåk serverne for uvanlig aktivitet.