Er vores klinikhjemmeside ramt af sårbarheden i PHP?

Den 21. oktober 2026 kom rettelser til to alvorlige huller i PHP, det programmeringssprog mange hjemmesider kører på. Ifølge PLO har leverandørerne af lægepraksissystemerne opdateret de hjemmesider, de leverer. Har klinikken en anden leverandør, anbefaler PLO, at I spørger. Af 10 kliniksider hos andre leverandører, som vi tjekkede 26. oktober, viste 5 stadig en ældre PHP-udgave, som ikke fik en ny udgivelse med rettelsen.

9. november 20264 min. læsning122 kliniksider tjekket igen

60 sekunders resumé 1 min.

ProblemetPHP-projektet rettede 21. oktober 2026 to huller, som hver er vurderet til 9,2 af 10. De kan lade en fremmed køre sin egen kode på serveren uden at logge ind. PLO skriver i PLO'rientering 18/2026, at journalsystemerne og Min Læge-appen ikke er berørt, og at leverandørerne af lægepraksissystemerne har opdateret klinikkernes hjemmesider.

Hvad vi gjordeDa vi skannede 406 klinikhjemmesider 29. og 30. september 2026, oplyste 122 af dem selv, hvilken PHP-udgave de kørte. Den 26. oktober tjekkede vi de 122 sider igen.

Hvad vi fandt112 sider med samme opsætning oplyser ikke længere en PHP-udgave. Af de 10 andre viste 5 en ældre udgave (5.6, 7.4 eller 8.0), 1 viste en rettet udgave, og 4 oplyser ikke længere udgaven.

Hvad det betyder for jeres klinikLeverer jeres lægepraksissystems leverandør også hjemmesiden, har PLO spurgt for jer. Ellers så spørg jeres leverandør eller webhotel, hvilken PHP-udgave siden kører, og om rettelsen fra 21. oktober er lagt ind. Få svaret skriftligt.

Det skete 21. oktober

PHP-projektet varslede 20. oktober en kritisk sikkerhedsudgivelse og udgav den 21. oktober 2026 (php.net, 21. oktober 2026). Det gælder to huller, CVE-2026-109618 og CVE-2026-109619. Ifølge PHP-projektet kan de i værste fald lade en uvedkommende køre kode på serveren uden at logge ind, og risikoen er størst for den opsætning, der hedder mod_php.

Rettet iPHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, udgivet 21. oktober 2026.
PHP 7.4, 8.0 og 8.1Ingen ny udgivelse. PHP-projektet lagde en minimal rettelse frem, som webhotellet eller leverandøren selv skal bygge ind. Versionsnummeret ændrer sig ikke.
PHP 7.3 og ældreDer findes ingen rettelse, skriver webhotellet Simply.com 22. oktober 2026.
Udnyttet?Canadas center for cybersikkerhed skrev 23. oktober 2026, at der ikke var set aktiv udnyttelse, men at det kan ændre sig hurtigt.
Et tredje hulDen 23. oktober 2026 beskrev PHP-projektet et hul mere, CVE-2026-115560, der kun rammer en usædvanlig opsætning. Det rettes i næste almindelige udgivelse.

I Danmark varslede DKCERT hullerne samme dag.

Det har PLO svaret for klinikkerne

I PLO'rientering 18/2026, 23. oktober 2026, skriver PLO, at de har været i dialog med leverandørerne af it til almen praksis:

Journalsystemer og Min LægeJournalsystemerne, Min Læge-appen og de øvrige fælles it-løsninger bruger ikke den berørte PHP-teknologi.
Klinikkernes hjemmesiderLangt de fleste leveres af leverandørerne af lægepraksissystemerne. De har oplyst, at de opdaterede hjemmesideløsningerne i løbet af natten.
Andre leverandørerPLO har ikke talt med dem. Har klinikken en anden hjemmesideleverandør end den, der leverer praksissystemet, anbefaler PLO, at klinikken kontakter leverandøren og får bekræftet, at siden er opdateret.

Det så vi på 122 kliniksider

Da vi skannede 406 klinikhjemmesider på Fyn, i København, Aarhus med forstæder, Aalborg og Vejle 29. og 30. september 2026, oplyste 122 af dem selv deres PHP-udgave i det svar, serveren sender med hver side. Den 26. oktober 2026 hentede vi de 122 sider igen og så, hvad serveren oplyser nu.

122 klinikhjemmesider, der i september 2026 selv oplyste deres PHP-udgave. Tjekket igen 26. oktober 2026.
Sider	September	26. oktober
112 med samme opsætning (WordPress med samme tema, alle hos klinikker med samme lægepraksissystem)	PHP 7.3	Ingen oplyser en PHP-udgave (111 svarede)
10 hos andre leverandører	PHP 5.3 til 8.0	5 ældre udgave, 1 rettet, 4 oplyser ikke udgaven

De 10 sider hos andre leverandører, en for en:

5 viser en ældre udgave3 viser PHP 8.0.30, 1 viser PHP 7.4.33, og 1 viser PHP 5.6.40. Ingen af dem fik en ny udgivelse 21. oktober. For 7.4 og 8.0 kan webhotellet have bygget rettelsen ind uden at nummeret ændrer sig. For 5.6 findes der ingen rettelse.
1 er rettetSiden viste PHP 7.0 i september og viser nu PHP 8.5.12, en af de rettede udgaver.
4 oplyser ikke udgavenDe viste PHP 5.3 i september. 3 af dem ligger på samme server, der oplyser webserveren Apache 2.2, som Apache holdt op med at vedligeholde i 2017 (Apache, 2017).

Vi tjekkede de 10 sider igen 9. november 2026. 9 af dem viste det samme som 26. oktober. Den tiende, en af de tre på Apache 2.2, kunne ikke findes på nettet den dag. 11 tilfældigt valgte af de 112 sider oplyste stadig ingen PHP-udgave.

At en server ikke længere oplyser sin PHP-udgave, siger ikke, hvilken udgave den kører. Det er derfor, svaret skal komme fra leverandøren. Man kan ikke se udefra, om en hjemmeside er rettet.

Er en side allerede blevet brudt ind i, lukker en opdatering hullet, men fjerner ikke det, der er lagt ind. Det så vi på en fynsk lægeside i september: Hackere har gemt links til potensmedicin på et fynsk lægehus' hjemmeside.

Det kan I spørge jeres leverandør om

Har klinikken en anden hjemmesideleverandør end den, der leverer praksissystemet, kan I sende de her fire spørgsmål:

Hvilken udgave?Hvilken PHP-udgave kører vores hjemmeside på?
Er den rettet?Er rettelsen fra 21. oktober 2026 lagt ind, enten som 8.2.35, 8.3.36, 8.4.27 eller 8.5.12, eller som en rettelse bygget ind i 7.4, 8.0 eller 8.1? Hvornår?
Er der tegn på indbrud?Har I set efter ukendte filer, brugere eller indhold, efter at hullerne blev kendt?
Hvad nu?Kører siden PHP 8.2, så er det værd at vide, at 8.2 ifølge php.net får sine sidste sikkerhedsopdateringer 31. december 2026.

Få svaret skriftligt, så klinikken har det, hvis spørgsmålet kommer igen. Styrelsen for Samfundssikkerhed har ni råd om digital sikkerhed til små virksomheder og en cyberhotline på 33 37 00 37.

Sådan er det på de sider, Ajura bygger

Ajura bygger og overvåger klinikkens hjemmeside. Webhotellet står i klinikkens eget navn hos Simply.com, og Ajura hoster ikke selv. Siderne kører PHP. Simply.com skrev 22. oktober 2026, at alle deres servere er opdateret, og at PHP 7.4 og alle nyere udgaver er rettet.

Når vi skanner en klinikside, ser vi efter det samme som i optællingen ovenfor: oplyser serveren en PHP-udgave, der ikke længere får sikkerhedsopdateringer, står det i det, vi sender klinikken, sammen med hvad der skal til for at rette det.

Læs også: Hackere har gemt links til potensmedicin på et fynsk lægehus' hjemmeside · Hvad skal vi fortælle patienterne om deling af journalnotater?

Kort fortalt

1PHP-projektet rettede 21. oktober 2026 to kritiske huller, CVE-2026-109618 og CVE-2026-109619, vurderet til 9,2 af 10
2De rettede udgaver er PHP 8.2.35, 8.3.36, 8.4.27 og 8.5.12; til 7.4, 8.0 og 8.1 findes en rettelse, som skal bygges ind
3Ifølge PLO bruger journalsystemerne og Min Læge-appen ikke den berørte teknologi
4Ifølge PLO har leverandørerne af lægepraksissystemerne opdateret de hjemmesider, de leverer
5Har klinikken en anden hjemmesideleverandør, anbefaler PLO at få bekræftet, at siden er opdateret
6Af 10 kliniksider hos andre leverandører, som Ajura tjekkede 26. oktober 2026, viste 5 en ældre PHP-udgave uden ny udgivelse

Spørgsmål vi får

Er journalsystemet og Min Læge-appen ramt?

Nej, ifølge PLO. Leverandørerne har oplyst PLO, at journalsystemerne, Min Læge-appen og de øvrige fælles it-løsninger til almen praksis ikke bruger den berørte PHP-teknologi.

Hvordan finder vi ud af, om vores hjemmeside er rettet?

Spørg den, der leverer siden. Leverer jeres lægepraksissystems leverandør også hjemmesiden, har den ifølge PLO opdateret natten efter 21. oktober. Har I en anden leverandør, så spørg, hvilken PHP-udgave siden kører, og om rettelsen fra 21. oktober 2026 er lagt ind. Det kan ikke ses udefra.

Vores side viser ikke en PHP-udgave. Er den så sikker?

Det kan man ikke vide ud fra det. Mange servere skjuler udgaven. Det siger ikke, om den er rettet.

Hvad hvis siden kører PHP 7.3 eller ældre?

Så findes der ingen rettelse til den udgave. Spørg leverandøren, hvornår siden kan komme over på en udgave, der stadig får sikkerhedsopdateringer, og tag en sikkerhedskopi først.

Det, denne artikel ikke kan sige

Vi har kun set det, serverne selv oplyser. Om en side er rettet, kan man ikke se udefra: et webhotel kan have bygget rettelsen ind i PHP 7.4 eller 8.0 uden at nummeret ændrer sig, og en server, der ikke oplyser sin udgave, kan køre hvad som helst. Optællingen siger altså ikke, at en bestemt side er sårbar.

Vi har tjekket de 122 sider, der i september oplyste deres PHP-udgave, ud af 406 klinikhjemmesider i fem byer og landsdele. De øvrige oplyste ikke udgaven i september, og dem kan vi ikke sige noget om. At de 112 sider med samme opsætning hører til samme leverandør, slutter vi af, at de har samme opsætning og samme lægepraksissystem.

Fakta om hullerne er PHP-projektets, PLO's og Simply.com's. Sagen er ny, og der kan komme mere. Vi er ikke it-sikkerhedsrådgivere; er I i tvivl om jeres egen side, så spørg jeres leverandør eller ring til cyberhotlinen.