To kritiske sikkerhetshull i programmeringsspråket PHP utløste onsdag en omfattende sikkerhetsalarm i Norge og flere andre land. Norske offentlige nettsteder og digitale tjenester ble midlertidig stengt mens eiere kartla risikoen og ventet på sikkerhetsoppdateringer.
Sårbarhetene, som er registrert som CVE-2026-109618 og CVE-2026-109619, kan gjøre det mulig for uvedkommende å kjøre skadelig kode på sårbare servere uten innlogging. PHP brukes av et stort antall nettsteder og nettbaserte tjenester, og omfanget gjorde at mange virksomheter valgte å stenge berørte løsninger som et føre-var-tiltak.
I Norge ble blant annet tjenester knyttet til Digitaliseringsdirektoratet, OsloMet og innloggingsløsningen Feide berørt. OsloMet opplyste at flere nettsteder og digitale tjenester ble tatt ned midlertidig etter varsel fra Sikt, som leverer fellestjenester til kunnskapssektoren.
Nasjonal sikkerhetsmyndighet varslet om de kritiske svakhetene og anbefalte først at berørte systemer ble stengt dersom oppdatering ikke kunne installeres umiddelbart. Da rettelsene ble tilgjengelige, ble rådet endret til å installere sikkerhetsoppdateringene så raskt som mulig.
PHP-prosjektet har publisert oppdaterte versjoner som retter feilene. Europeiske cybersikkerhetsmyndigheter anbefaler at virksomheter først identifiserer internettvendte PHP-systemer, prioriterer oppdatering av disse og samarbeider tett med drifts- og hostingleverandører.
Nedstengningene betyr ikke nødvendigvis at det har skjedd et innbrudd. På tidspunktet for de første norske varslene var det ikke kjent at sårbarhetene var aktivt misbrukt mot norske systemer. Likevel understreker hendelsen hvor raskt en alvorlig feil i grunnleggende nett-teknologi kan få konsekvenser for offentlige tjenester, utdanning og digitale innloggingsløsninger.