PHP2Shell:

Nylig oppdagede sikkerhetshull
– Hva betyr dette for museene?

Det er nylig oppdaget alvorlige sikkerhetshull i PHP, en teknologi som svært mange nettsider bygger på. KulturITs egne løsninger er ikke berørt. Har museet ditt nettsider eller tjenester fra andre leverandører, anbefaler vi at dere tar kontakt med dem så snart som mulig.

Marianne Nordahl

Kommunikasjonsansvarlig

Hva har skjedd?

PHP brukes til å lage og drive nettsider og nettjenester, blant annet WordPress-sider. Tirsdag 20. oktober 2026 ble det kjent at PHP har to alvorlige sikkerhetshull, som til sammen har fått navnet PHP2Shell.

I verste fall kan en angriper ta kontroll over serveren en nettside ligger på, uten å logge inn. Dette er blant de mest alvorlige sikkerhetshullene på lenge, og saken har fått mye oppmerksomhet i mediene.

Onsdag 21. oktober kom det en rettelse. Alle som drifter servere med PHP, blir bedt om å oppdatere så raskt som mulig.

Er KulturITs løsninger berørt?

Nei. eKultur-løsningene, som for eksempel Primus og DigitaltMuseum, er ikke berørt. Det samme gjelder tjenestene vi drifter for museene som en del av IT-driften.

For enkelte museer drifter vi også løsninger fra andre leverandører. Der disse bygger på PHP, har vi allerede gjort tiltak, og museene det gjelder har fått direkte beskjed fra oss.

Hva bør museet ditt gjøre?

Mange museer har nettsider og tjenester der det er en annen leverandør enn KulturIT som står for driften. Disse kan være berørt. Det kan for eksempel gjelde:

nettsider
nettbutikk eller billettsalg
påmelding og booking
intranett eller andre interne nettsider

Ta kontakt med leverandøren og spør: «Er tjenesten vår oppdatert mot PHP2Shell?»

Museet trenger ikke gjøre noe teknisk selv. Det er den som drifter serveren, som må oppdatere. Men det er lurt å få bekreftet skriftlig at det er gjort.

Vær oppmerksom på at eldre versjoner av PHP (8.1 og eldre) ikke får rettelsen. Kjører tjenesten på en så gammel versjon, må den oppgraderes, og det kan kreve mer arbeid fra leverandøren.

Usikker på hvem som drifter nettsiden?

Det er ikke uvanlig, særlig hvis nettsiden ble laget for noen år siden. Sjekk avtaler eller fakturaer, eller spør den som har ansvaret for nettsiden internt.

Spørsmål?