To kritiske PHP-sikkerhedshuller kan ramme hotellers hjemmesider og bookingsystemer
PHP-projektet har lukket to kritiske sårbarheder, der kan give en angriber mulighed for at køre kode udefra uden login. HORESTA beder hoteller og restauranter spørge deres it-leverandør, om systemerne er opdateret. Ingen kilde oplyser, hvor mange danske virksomheder der er berørt.
Mange hoteller og restauranter bruger PHP uden at vide det. Programmeringssproget kører bag mange hjemmesider, webshops og bookingsystemer, som en ekstern leverandør driver, skriver HORESTA 22. oktober. Samme dag opfordrer organisationen medlemmerne til at få undersøgt, om deres systemer er berørt af to nye sikkerhedshuller.
PHP-projektet offentliggjorde sikkerhedsmeddelelsen 21. oktober. Den beskriver to kritiske sårbarheder, CVE-2026-109618 og CVE-2026-109619, som kan give en angriber mulighed for at køre kode på serveren uden at logge ind. Projektet vurderer risikoen højest for installationer med Apache og modulet mod_php, hvor en demonstreret fremgangsmåde kan udløse angrebet, før websitets egen kode er kørt. Sårbarhederne gælder alle installationer, der betjener webforespørgsler.
Rettelsen er en opdatering til PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35. Version 8.1 og ældre får ikke længere opdateringer fra projektet, så her afhænger en virksomhed af rettelser fra sin Linux-distribution eller en leverandør af langtidssupport. Af hensyn til alvoren har projektet lagt minimale rettelser ud til version 7.4, 8.0 og 8.1 til dem, der selv bygger fra kildekode. Midlertidige indstillinger kan mindske risikoen, men projektet skriver, at kun en opdatering fjerner den helt.
Tre ting at bede leverandøren om
HORESTA er en brancheorganisation og dermed part. Den anbefaler medlemmerne at kontakte it-leverandøren eller webbureauet. Leverandøren skal for det første undersøge, om hjemmeside, bookingsystem og andre it-systemer er berørt. For det andet skal de nødvendige sikkerhedsopdateringer installeres. For det tredje skal leverandøren kontrollere, om der er tegn på, at uvedkommende har forsøgt at få adgang.
Kan systemerne ikke opdateres med det samme, anbefaler myndighederne ifølge HORESTA at overveje at lukke de berørte systemer midlertidigt, indtil sikkerheden er på plads. HORESTA nævner ikke, hvilken myndighed der står bag anbefalingen.
Hvad det betyder
Hverken PHP-projektet eller HORESTA opgiver, hvor mange danske hoteller og restauranter der kører på en sårbar version, og HORESTA nævner ingen konkrete angreb. Spørgsmålet til leverandøren er derfor enkelt: Hvilken PHP-version kører systemet, og hvornår blev den opdateret? Svaret er let at bede om og let at gemme, hvis spørgsmålet kommer igen.
