Er I kunde hos ECIT? Så gør vi allerede dette
Som alle andre leverandører havde vi sårbare systemer. Forskellen er, at vi fandt dem inden for få timer og lukkede dem samme aften. Her kan I se, hvad vi allerede har gjort, og hvad der sker nu.
Teknisk: CVE-2026-109618 · CVE-2026-109619
Skal I gøre noget?
Ja! Vi scanner løbende vores servernetværk og kontakter jer med det samme, hvis vi finder noget dér. Jeres lokale servere og andre systemer kræver dog en separat scanning.
Kontakt os på +46 8 517 844 00.
Gjort i går aftes/i dag
- Gennemsøgt serverne. Vi har scannet serverne i ECIT's datacenter og på vores virtualiseringsplatforme, både indefra og udefra, for at finde alle, der kører PHP.
- Beskyttet sårbare servere. Servere med sårbar PHP er blevet lukket ned eller beskyttet. Vores teknikere ringer til berørte kunder. Hvis vi ikke når jer, får I en e-mail, og vi opretter en sag.
- Låst administrationen af firewalls. For de firewalls, vi administrerer, har vi lukket adgangen til administrationen fra internettet. Jeres brugere og jeres VPN påvirkes ikke.
- Informeret kunderne. Vi har sendt omkring 5.200 e-mails med information til vores kunder i hele Norden. Der sendes også sms'er.
Det sker nu
- Scanningen fortsætter. Den eksterne scanning er i gang, og nye fund udbedres løbende. Finder vi noget hos jer, kontakter vores SOC jer direkte.
- Firewalls følges op. Flere af de firewall-løsninger, vi administrerer, er bekræftet upåvirkede. For de øvrige følger vi leverandørernes meldinger, og er en opdatering nødvendig, installeres den i et akut servicevindue. I får besked om hvornår.
- Løsningen kan kræve jeres leverandør. For berørte servere afhænger vejen frem ofte af leverandøren af jeres applikation, ikke kun af ECIT.
Har I egne servere?
Vores scanning dækker servere i ECIT's datacenter og på vores virtualiseringsplatforme. Har I servere i egne lokaler eller hos en anden leverandør, har vi ikke kunnet kontrollere dem — det er netop det, vi gør i kontrollen til 799 DKK.
Er I ikke kunde hos ECIT? Vi kontrollerer jeres systemer for 799 DKK
I behøver ingen aftale med os. Kontrollen er en engangsydelse til fast pris.
Hvad er der sket — forklaret enkelt
Forestil jer, at en låseproducent opdager, at alle deres låse kan åbnes uden nøgle. De sender straks nye låse ud. Problemet: beskrivelsen af, hvordan man åbner de gamle låse, slap ud, før de nye nåede frem, og ingen skifter låsene for jer — det skal nogen gøre.
Rettelsen findes, men den skal installeres. Indtil da står døren åben.
Berører det os?
Ja, hvis I har noget af dette — uanset hvem der har bygget det, eller hvornår:
- En hjemmeside
- En webshop
- En kundeportal
- Et booking- eller sagssystem
- Et intranet
- En formular til kundeoplysninger
- En firewall
- En NAS-enhed
Det gør vi for 799 DKK
01
Vi finder ud af, hvad I har
I behøver ikke vide, hvilke servere eller adresser I har på nettet. Det finder vi ud af for jer, og det er inkluderet.
02
Vi kontrollerer
Vi undersøger udefra, præcis som en udenforstående ville gøre. Vi rører ingenting og forstyrrer ikke driften.
03
I får besked
Et klart svar: ramt eller ej. Og i så fald hvad der skal gøres, og hvor meget det haster.
To ting, vi lover
Klar besked. Ingen teknisk rapport, I ikke kan bruge — I får at vide, om I er ramt, og hvad I bør gøre.
Vi gætter ikke. Nogle servere afslører ikke, hvad de kører. Så siger vi det ligeud og viser, hvordan I finder ud af det.
Bestil kontrol
Vi går i gang inden for et døgn. I behøver ikke forberede noget eller have teknisk viden.
Vil I hellere tale med os direkte? Ring +46 8 517 844 00.
Løbende opdateringer
Det er sket
Den 21. oktober 2026 advarede Styrelsen for Samfundssikkerhed om to kritiske sårbarheder i PHP, den software, der findes i de fleste hjemmesider og webtjenester. Fejlen lader en udenforstående overtage serveren uden adgangskode. En rettelse findes, men den skal installeres. Nedenfor opdaterer vi løbende, hvad ECIT gør.
Leverandørstatus – hvem der er påvirket, og hvem der ikke er
Vi følger leverandørernes meldinger løbende. Fortinet har bekræftet, at FortiOS, FortiManager, FortiAnalyzer, FortiWeb og FortiMail ikke er påvirket. Palo Alto og QNAP har bekræftet, at de er påvirket, og arbejder på rettelser. pfSense og OPNsense har allerede udgivet rettelser. Den fulde liste findes længere nede på siden og opdateres løbende.
Azure Web Apps – husk at genstarte
Husk at genstarte jeres Azure Web Apps. Ved genstarten får de automatisk en PHP-version, der ikke er sårbar.
Gå ud fra, at udstyret kan være sårbart, indtil producenten har bekræftet andet
Flere producenter har aktivt bekræftet, om deres produkter er påvirket eller ej. Indtil en sådan bekræftelse foreligger, skal producenten betragtes som usikker, og I bør gå ud fra, at PHP-sårbarheden også kan findes dér. Det er særligt vigtigt for firewalls og systemer, der kan nås fra internettet.
Vores anbefaling: kortlæg og sikr jeres enheder
Switche, firewalls, NAS-enheder, servere og applikationer kan være påvirket. Vi anbefaler derfor, at I straks kortlægger, hvilke enheder der findes i jeres netværk, og aktivt sikrer dem.
- Gælder ECIT-kunder
Flere sårbare servere og systemer identificeret
Vi har identificeret flere sårbare servere og systemer. Arbejdet fortsætter for fuld kraft.
Leverandørernes rettelser – status
PHP har udgivet rettede versioner (8.5.12, 8.4.27, 8.3.36 og 8.2.35). De store Linux-distributioner er klar: Ubuntu, Debian, Red Hat, AlmaLinux og Fedora, ligesom webhotelpanelerne cPanel og Plesk. Blandt cloudplatformene har AWS, Azure App Service og Google Cloud udsendt rettelser. For firewalls er meldingen god: Fortinet har bekræftet, at FortiOS, FortiManager, FortiAnalyzer, FortiWeb og FortiMail ikke er påvirket, og WatchGuard ser ud til at være upåvirket.
- Gælder ECIT-kunder
Søgningen fortsætter – leverandører har udsendt rettelser
Arbejdet med at finde sårbare systemer hos vores kunder fortsætter. Du bliver kontaktet af vores SOC, hvis vi finder sårbarheder hos jer. Flere leverandører har i nattens løb udsendt rettelser til deres applikationer, der har PHP indbygget.
- Gælder ECIT-kunder
Gennemsøgningen fortsætter i nat
Gennemsøgningen efter sårbare systemer og servere fortsætter i nat.
- Gælder ECIT-kunder
Sårbare servere beskyttet – scanningen fortsætter
Vi har scannet serverne i ECIT's datacenter og på vores virtualiseringsplatforme og lukket ned eller beskyttet dem, der kører sårbar PHP. Berørte kunder kontaktes direkte. Administrationen af de firewalls, vi administrerer, er lukket fra internettet, mens vi venter på opdateringer fra leverandørerne, men jeres brugere og jeres VPN påvirkes ikke. De første resultater fra den eksterne scanning ventes i morgen formiddag.
ECIT tilbyder sårbarhedskontrol til fast pris
Vi kontrollerer udefra, om jeres systemer er ramt – 799 DKK, opstart inden for et døgn. I behøver ingen aftale med os.
CERT-SE advarer om kritisk sårbarhed i PHP
Fejlen lader en udenforstående overtage serveren uden adgangskode. Oplysningerne om fejlen er offentlige, og CERT-SE opfordrer alle til at handle med det samme. En rettelse findes, men den skal installeres.
Leverandørstatus
Her samler vi, hvad leverandørerne selv har bekræftet. Listen opdateres løbende — senest .
Bekræftet påvirket
| Leverandør | Produkt | Status |
|---|---|---|
| Palo Alto Networks | PAN-OS, Panorama | Alle versioner påvirket. Rettelse endnu ikke udgivet — begræns adgangen til administrationsgrænsefladen. Advisory ↗ |
| QNAP | Flere produkter | Bekræftet påvirket, rettelse på vej. QNAP anbefaler at lukke port forwarding og UPnP og bruge VPN til fjernadgang. QSA-26-18 ↗ |
| Netgate | pfSense Plus og CE | Rettelse udgivet. Opdateringen kræver pakkehåndtering via kommandolinjen — det er ikke nok at opdatere via webgrænsefladen. Information ↗ |
| Deciso | OPNsense | Hotfix udgivet i Community 26.7.7 og Business 26.4.2p3. Installér den, selv om versionsnummeret allerede ser rigtigt ud. Release notes ↗ |
| Nextcloud | Server, AIO | Påvirket via PHP-runtime. Opdatér til en rettet PHP-version. En rettet AIO-container er endnu ikke udgivet. |
| Google Cloud | App Engine Flexible, Cloud Run | Bekræftet påvirket. Genudrulning er nødvendig. |
Bekræftet ikke påvirket
| Leverandør | Produkt | Kilde |
|---|---|---|
| Fortinet | FortiOS, FortiManager, FortiAnalyzer, FortiWeb, FortiMail, FortiClient (Windows, Linux, macOS), FortiSASE, FortiAuthenticator, FortiSwitch, FortiNAC | FG-IR-26-186 ↗ |
| SUSE | BCI-containerne php, php-apache og php-fpm | Leverandørens VEX-vurdering |
Rettelse udgivet — styresystemer og platforme
PHP har selv udgivet 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Der findes også rettelser til Ubuntu (USN-8948-1 og -2, helt ned til Ubuntu Pro Legacy), Debian 13 og 12, Red Hat Enterprise Linux 10, 9 og 8, AlmaLinux, Arch Linux, Fedora, Alpine og SUSE SLE 15 SP7. Blandt webhotelpanelerne har cPanel, Plesk, DirectAdmin, aaPanel og HestiaCP udgivet rettelser.
Bemærk, at flere distributioner retter uden at hæve versionsnummeret. Ubuntu 24.04 forbliver på 8.3.6 og RHEL 9 på 8.0.30 — begge er rettet. Sammenlign pakkestrengen med leverandørens liste, ikke med outputtet fra php -v.
Stadig under undersøgelse
Disse leverandører har endnu ikke meldt ud. Gå ikke ud fra, at de er sikre:
- Fortinet FortiADC, FortiSIEM, FortiClient EMS, FortiSOAR, FortiDDoS, FortiMonitor og FortiEndpoint
- Synology (alle PHP-pakker og Web Station)
- Citrix NetScaler ADC
- Juniper J-Web (EX og SRX)
- Sophos
- TerraMaster
Sådan følger I selv listen
Nederlandenes nationale cybersikkerhedscenter vedligeholder en offentlig oversigt over berørt software, efter samme model som under Log4Shell. Den opdateres flere gange i døgnet. NCSC-NL php2shell ↗