Er dere kunde hos ECIT? Da gjør vi allerede dette
Som alle andre leverandører hadde vi sårbare systemer. Forskjellen er at vi fant dem i løpet av noen timer og stengte dem samme kveld. Her ser dere hva vi allerede har gjort og hva som skjer videre.
Teknisk: CVE-2026-109618 · CVE-2026-109619
Må dere gjøre noe?
Ja! Vi skanner løpende servernettverkene våre og kontakter dere med en gang hvis vi finner noe der. Lokale servere og andre systemer hos dere krever likevel en egen skanning.
Kontakt oss på +46 8 517 844 00.
Gjort i går kveld/i dag
- Søkt gjennom serverne. Vi har skannet serverne i ECITs datasenter og på virtualiseringsplattformene våre, både innenfra og utenfra, for å finne alle som kjører PHP.
- Beskyttet sårbare servere. Servere med sårbar PHP er slått av eller beskyttet. Teknikerne våre ringer berørte kunder. Når vi ikke fram til dere, får dere en e-post, og vi oppretter en sak.
- Låst administrasjonen av brannmurer. For brannmurer vi forvalter, har vi stengt tilgangen til administrasjonen fra internett. Brukerne deres og VPN-en deres påvirkes ikke.
- Informert kundene. Vi har sendt rundt 5 200 e-poster med informasjon til kundene våre i hele Norden. Det sendes også SMS.
Dette skjer nå
- Skanningen fortsetter. Den eksterne skanningen pågår, og nye funn utbedres fortløpende. Finner vi noe hos dere, kontakter SOC-en vår dere direkte.
- Brannmurene følges opp. Flere av brannmurløsningene vi forvalter, er bekreftet upåvirket. For de øvrige følger vi leverandørenes beskjeder, og trengs en oppdatering, installeres den i et akutt servicevindu. Dere får beskjed om når.
- Løsningen kan kreve leverandøren deres. For berørte servere avhenger veien videre ofte av leverandøren av applikasjonen deres, ikke bare av ECIT.
Har dere egne servere?
Skanningen vår dekker servere i ECITs datasenter og på virtualiseringsplattformene våre. Har dere servere i egne lokaler eller hos en annen leverandør, har vi ikke kunnet kontrollere dem — det er nettopp det vi gjør i kontrollen til 995 NOK.
Er dere ikke kunde hos ECIT? Vi kontrollerer systemene deres for 995 NOK
Dere trenger ingen avtale med oss. Kontrollen er en engangstjeneste til fast pris.
Hva har skjedd — forklart enkelt
Tenk dere at en låsprodusent oppdager at alle låsene deres kan åpnes uten nøkkel. De sender straks ut nye låser. Problemet: beskrivelsen av hvordan man åpner de gamle låsene, lekket ut før de nye kom fram, og ingen bytter låsene for dere — det må noen gjøre.
Rettelsen finnes, men den må installeres. Inntil da står døren åpen.
Berører det oss?
Ja, hvis dere har noe av dette — uansett hvem som har laget det eller når:
- En nettside
- En nettbutikk
- En kundeportal
- Et booking- eller sakssystem
- Et intranett
- Et skjema for kundeopplysninger
- En brannmur
- En NAS-enhet
Dette gjør vi for 995 NOK
01
Vi finner ut hva dere har
Dere trenger ikke vite hvilke servere eller adresser dere har ute på nettet. Det finner vi ut for dere, og det er inkludert.
02
Vi kontrollerer
Vi undersøker utenfra, akkurat som en utenforstående ville gjort. Vi rører ingenting og forstyrrer ikke driften.
03
Dere får beskjed
Et klart svar: rammet eller ikke. Og i så fall hva som må gjøres, og hvor mye det haster.
To ting vi lover
Klar beskjed. Ingen teknisk rapport dere ikke kan bruke — dere får vite om dere er rammet og hva dere bør gjøre.
Vi gjetter ikke. Noen servere avslører ikke hva de kjører. Da sier vi det rett ut og viser hvordan dere finner det ut.
Bestill kontroll
Vi starter innen et døgn. Dere trenger ikke forberede noe eller kunne noe teknisk.
Vil dere heller snakke direkte? Ring +46 8 517 844 00.
Løpende oppdateringer
Dette har skjedd
21. oktober 2026 varslet Nasjonal sikkerhetsmyndighet (NSM) om to kritiske sårbarheter i PHP, programvaren som finnes i de fleste nettsider og nettjenester. Feilen lar en utenforstående ta kontroll over serveren uten passord. En rettelse finnes, men den må installeres. Nedenfor oppdaterer vi fortløpende hva ECIT gjør.
Leverandørstatus – hvem som er berørt og ikke
Vi følger leverandørenes beskjeder løpende. Fortinet har bekreftet at FortiOS, FortiManager, FortiAnalyzer, FortiWeb og FortiMail ikke er berørt. Palo Alto og QNAP har bekreftet at de er berørt, og jobber med rettinger. pfSense og OPNsense har allerede sluppet rettinger. Den fullstendige listen finnes lenger ned på siden og oppdateres løpende.
Azure Web Apps – husk å starte på nytt
Husk å starte Azure Web Apps på nytt. Ved omstarten får de automatisk en PHP-versjon som ikke er sårbar.
Gå ut fra at utstyret kan være sårbart til produsenten har bekreftet noe annet
Flere produsenter har aktivt bekreftet om produktene deres er berørt eller ikke. Inntil en slik bekreftelse har kommet, skal produsenten regnes som usikker, og dere bør gå ut fra at PHP-sårbarheten kan finnes også der. Dette er særlig viktig for brannmurer og systemer som kan nås fra internett.
Vår anbefaling: kartlegg og sikre enhetene deres
Svitsjer, brannmurer, NAS-enheter, servere og applikasjoner kan være berørt. Vi anbefaler derfor at dere umiddelbart kartlegger hvilke enheter som finnes i nettverket deres, og aktivt sikrer dem.
- Gjelder ECIT-kunder
Flere sårbare servere og systemer identifisert
Vi har identifisert flere sårbare servere og systemer. Arbeidet fortsetter for full kraft.
Leverandørenes rettelser – status
PHP har sluppet rettede versjoner (8.5.12, 8.4.27, 8.3.36 og 8.2.35). De store Linux-distribusjonene er klare: Ubuntu, Debian, Red Hat, AlmaLinux og Fedora, i tillegg til webhotellpanelene cPanel og Plesk. Blant skyplattformene har AWS, Azure App Service og Google Cloud rettelser ute. For brannmurer er beskjeden god: Fortinet har bekreftet at FortiOS, FortiManager, FortiAnalyzer, FortiWeb og FortiMail ikke er berørt, og WatchGuard ser ut til å være upåvirket.
- Gjelder ECIT-kunder
Søket fortsetter – leverandører har sluppet rettelser
Arbeidet med å finne sårbare systemer hos kundene våre pågår fortsatt. Du blir kontaktet av SOC-en vår hvis vi finner sårbarheter hos dere. Flere leverandører har i løpet av natten sluppet rettelser for applikasjonene sine som har PHP innebygd.
- Gjelder ECIT-kunder
Gjennomsøkingen fortsetter i natt
Gjennomsøkingen etter sårbare systemer og servere fortsetter i natt.
- Gjelder ECIT-kunder
Sårbare servere beskyttet – skanningen fortsetter
Vi har skannet serverne i ECITs datasenter og på virtualiseringsplattformene våre og slått av eller beskyttet dem som kjører sårbar PHP. Berørte kunder kontaktes direkte. Administrasjonen av brannmurene vi forvalter, er stengt fra internett mens vi venter på oppdateringer fra leverandørene, men brukerne deres og VPN-en deres påvirkes ikke. De første resultatene fra den eksterne skanningen ventes i morgen formiddag.
ECIT tilbyr sårbarhetskontroll til fast pris
Vi kontrollerer utenfra om systemene deres er rammet – 995 NOK, oppstart innen et døgn. Dere trenger ingen avtale med oss.
CERT-SE varsler om kritisk sårbarhet i PHP
Feilen lar en utenforstående ta kontroll over serveren uten passord. Opplysningene om feilen er offentlige, og CERT-SE oppfordrer alle til å handle umiddelbart. En rettelse finnes, men den må installeres.
Leverandørstatus
Her samler vi det leverandørene selv har bekreftet. Listen oppdateres løpende — sist .
Bekreftet berørt
| Leverandør | Produkt | Status |
|---|---|---|
| Palo Alto Networks | PAN-OS, Panorama | Alle versjoner berørt. Retting ennå ikke sluppet — begrens tilgangen til administrasjonsgrensesnittet. Advisory ↗ |
| QNAP | Flere produkter | Bekreftet berørt, retting på vei. QNAP anbefaler å stenge port forwarding og UPnP og bruke VPN for fjerntilgang. QSA-26-18 ↗ |
| Netgate | pfSense Plus og CE | Retting sluppet. Oppdateringen krever pakkehåndtering via kommandolinjen — det holder ikke å oppdatere via webgrensesnittet. Informasjon ↗ |
| Deciso | OPNsense | Hotfix sluppet i Community 26.7.7 og Business 26.4.2p3. Installer den selv om versjonsnummeret allerede ser riktig ut. Utgivelsesnotater ↗ |
| Nextcloud | Server, AIO | Berørt via PHP-runtime. Oppdater til rettet PHP-versjon. Rettet AIO-container er ennå ikke sluppet. |
| Google Cloud | App Engine Flexible, Cloud Run | Bekreftet berørt. Ny utrulling kreves. |
Bekreftet ikke berørt
| Leverandør | Produkt | Kilde |
|---|---|---|
| Fortinet | FortiOS, FortiManager, FortiAnalyzer, FortiWeb, FortiMail, FortiClient (Windows, Linux, macOS), FortiSASE, FortiAuthenticator, FortiSwitch, FortiNAC | FG-IR-26-186 ↗ |
| SUSE | BCI-containerne php, php-apache og php-fpm | Leverandørens VEX-vurdering |
Retting sluppet — operativsystemer og plattformer
PHP har selv sluppet 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Det finnes også rettinger for Ubuntu (USN-8948-1 og -2, helt ned til Ubuntu Pro Legacy), Debian 13 og 12, Red Hat Enterprise Linux 10, 9 og 8, AlmaLinux, Arch Linux, Fedora, Alpine og SUSE SLE 15 SP7. Blant webhotellpanelene har cPanel, Plesk, DirectAdmin, aaPanel og HestiaCP sluppet rettinger.
Merk at flere distribusjoner retter uten å øke versjonsnummeret. Ubuntu 24.04 blir værende på 8.3.6 og RHEL 9 på 8.0.30 — begge er rettet. Sammenlign pakkestrengen med leverandørens liste, ikke utdata fra php -v.
Fortsatt under utredning
Disse leverandørene har ennå ikke gitt beskjed. Ikke gå ut fra at de er sikre:
- Fortinet FortiADC, FortiSIEM, FortiClient EMS, FortiSOAR, FortiDDoS, FortiMonitor og FortiEndpoint
- Synology (alle PHP-pakker og Web Station)
- Citrix NetScaler ADC
- Juniper J-Web (EX og SRX)
- Sophos
- TerraMaster
Slik følger dere listen selv
Nederlands nasjonale cybersikkerhetssenter vedlikeholder en offentlig oversikt over berørt programvare, etter samme modell som under Log4Shell. Den oppdateres flere ganger i døgnet. NCSC-NL php2shell ↗