Når selv Aula lukker
Onsdag gik Aula ned. Det samme gjorde DMI, Københavns Kommune, Vejdirektoratet og bibliotekernes systemer. Ikke på grund af et angreb, men fordi en fejl i programmeringssproget PHP gjorde det for risikabelt at holde dem åbne.
Det lyder teknisk. Det er det også. Men konsekvensen er enkel: Op mod 70 procent af verdens hjemmesider kan være påvirket. Kører din side på WordPress, er den med stor sandsynlighed én af dem.
Det betyder ikke, at din side er hacket. Det betyder, at den skal opdateres. I dag – ikke i næste uge.
Hvad er der sket?
PHP er det programmeringssprog, der får WordPress til at køre på serveren. Det samme gælder WooCommerce, Drupal, Joomla, Magento og en stor del af de hjemmesider, du besøger hver dag.
Den 21. oktober udgav PHP rettelser til to fejl med numrene CVE-2026-109618 og CVE-2026-109619. Begge har fået 9,2 ud af 10 på den internationale skala for alvorlighed. Fejlene kan bruges til at køre fremmed kode på en server – uden at logge ind.
Fejlene blev fundet af sikkerhedsfirmaet Wiz Research, som allerede i august viste, at de kunne bruges til at overtage en helt ny WordPress-installation. Planen var at holde detaljerne hemmelige, til rettelsen var klar. Det holdt ikke. Oplysningerne slap ud dagen før, og de første angrebsforsøg blev registreret samme morgen, som opdateringen kom.
Styrelsen for Samfundssikkerhed opfordrer alle systemejere til at opdatere hurtigst muligt. Kan det ikke lade sig gøre, kan det ifølge styrelsen være nødvendigt at tage systemet offline, indtil det er opdateret.
Det er præcis det, Aula, DMI og flere andre har gjort. Kombit, der driver Aula, har bekræftet, at lukningen skyldes PHP-fejlene. Myndigheder i blandt andet Australien og Japan giver samme råd.
Det er ikke en advarsel, man parkerer til næste møde.
Hvem er ramt?
Fejlen sidder i PHP selv. Ikke i WordPress, ikke i dit tema og ikke i dine plugins. Det er netop derfor, den er så alvorlig.
Alle PHP-versioner før 8.5.12, 8.4.27, 8.3.36 og 8.2.35 er sårbare. Det samme er PHP 8.1 og ældre, medmindre din hostingudbyder selv har lagt en rettelse ind. Ifølge Wiz Research er versioner helt tilbage til PHP 5.4 ramt af mindst én af fejlene.
Tre ting er værd at vide:
Opdaterer du WordPress eller dine plugins, opdaterer du ikke PHP. WordPress har selv meldt ud, at der ikke kommer en WordPress-opdatering, fordi fejlen ligger et lag længere nede.
Et sikkerhedsplugin hjælper ikke. Angrebet kan ske, før din hjemmesides egen kode overhovedet går i gang.
Vedligeholdelsestilstand hjælper heller ikke. PHP læser forespørgslen, før WordPress når at tjekke, om siden er lukket.
Kort sagt: Har du en WordPress-side, kan du ikke løse det inde fra kontrolpanelet. Det sker på serveren.
Hvad skal du gøre nu?
Den gode nyhed er, at rettelsen findes. Det handler om at få den installeret.
Kontakt din hostingudbyder i dag. Spørg konkret, om PHP-sikkerhedsopdateringen fra 21. oktober 2026 (CVE-2026-109618 og CVE-2026-109619) er installeret på din server. De to numre fortæller supporten med det samme, hvad du taler om.
Tjek din PHP-version. Den står typisk i dit hostingpanel eller under Værktøjer → Webstedstilstand → Info i WordPress. Ligger den under 8.2, er det tid til at opgradere.
Har du selv en server eller VPS, skal du selv opdatere – og genstarte PHP-FPM eller webserveren bagefter. Ellers kører den gamle version videre.
Hold øje med tegn på indbrud: nye administratorbrugere, ukendte filer eller ændringer, du ikke selv har lavet.
Planlæg videre. PHP 8.2 får kun sikkerhedsopdateringer frem til 31. december 2026. Står du på den, er næste skift allerede tæt på.
Aula og DMI har it-afdelinger, der kan lukke, opdatere og åbne igen på en eftermiddag. Det har de fleste mindre virksomheder ikke.
Er du i tvivl om, hvem der har ansvaret for din server, er det i sig selv et svar. Så er det ikke nogen.
Vi vil være ærlige om det
WordPress er ikke dårligt. Millioner af sider kører fint på det, og en opdateret, velholdt WordPress-side er ikke farlig.
Men dagen i dag viser noget, mange glemmer. En WordPress-side er ikke bare en hjemmeside. Det er en server, et programmeringssprog, et tema, en håndfuld plugins – og nogen, der skal holde øje med det hele.
Det er dér, det ofte går galt. Tidligere i år viste en opgørelse fra Censys, at kun 14 procent af de offentligt synlige WordPress-sider kørte den seneste sikkerhedsopdatering. Ikke fordi folk er ligeglade. Men fordi siden blev bygget for fem år siden, bureauet er skiftet, og ingen helt ved, hvem der har koden til hostingen.
Spørgsmålet er ikke, om WordPress er sikkert. Spørgsmålet er, om nogen passer på din side.
Skift ikke i panik
Det første skridt er altid at opdatere. Ikke at bygge nyt.
En hjemmeside, der flyttes i hast, bliver sjældent bedre. Så få rettelsen på plads, træk vejret, og tag beslutningen bagefter.
Men brug gerne anledningen til at stille dig selv et par ærlige spørgsmål. Hvem holder din side opdateret i dag? Hvad koster det – i penge og i bekymring? Og hvornår har du sidst ændret noget på siden selv, uden at skulle ringe til nogen?
Er svarene uklare, er det måske ikke PHP, der er problemet. Så er det opsætningen.
Framer: et alternativ til PHP og WordPress
Leder du efter et alternativ til PHP og WordPress, er det dér, vi selv er landet. Vi bygger vores hjemmesider i Framer. Ikke fordi det er nyt, men fordi det fjerner de lag, der giver bekymringer.
Framer er en hostet platform. Der er ingen server, du skal opdatere, ingen PHP-version at holde styr på og ingen plugins, der skal følge med. Drift, hosting og sikkerhedsopdateringer ligger hos Framer. Du retter tekster, billeder og indhold direkte i siden – uden en udvikler imellem.
Det betyder ikke, at intet kan gå galt. Ingen platform er usårlig, og det vil vi aldrig påstå. Men det flytter ansvaret for det tekniske derhen, hvor det hører hjemme. Så du kan bruge tiden på det, siden skal kunne for din forretning.
Framer er værktøjet. Erfaringen er det, der gør forskellen.
Sådan skifter du fra WordPress til Framer
Et skift fra WordPress til Framer starter ikke med design. Det starter med en samtale.
Vi gennemgår din nuværende side sammen med dig. Hvad virker? Hvad skal med? Hvad kan godt få lov at blive tilbage? Derefter flytter vi indholdet, bygger siden op i Framer og sætter omdirigeringer op, så gamle links fortsat virker, og du beskytter den synlighed i Google, du har bygget op.
Vi er officiel Framer Expert, og en ny side tager typisk 2–3 uger fra start til lancering. En Framer hjemmeside starter fra 7.999 kr. Større sider med mange undersider eller meget indhold prissætter vi, når vi kender omfanget.
Du har én fast kontakt hele vejen. Fra første samtale til færdig side. Og når siden går live, ligger den på din egen Framer-konto. Et godt website skal ikke gøre dig afhængig af os.
Uanset om du vil skifte, eller bare vil vide, hvor du står, starter det med en god samtale. Vi ringer dig op – ikke for at sælge, men for at forstå.
