Kort sagt: Et sikkerhedshul på en kommunes website er en hændelse med offentlighed. Afklar, hvem der driver serveren, lad PHP-rettelse og genstart bekræfte, og hold en nødside klar, hvis hjemmesiden midlertidigt må tages af nettet. Kommunikationen til borgere og presse bør være koordineret, før spørgsmålene kommer.
Hvilke PHP-systemer kommuner typisk driver
Mange kommunale hjemmesider kører på TYPO3, ved siden af på andre PHP-systemer. Rundt om hovedhjemmesiden opstår der flere applikationer: onlineformularer til ansøgninger og tilmeldinger, fejlmeldere, begivenhedskalendere, borgerinddragelse, jobportaler, institutionsoptagelse, turismesider, bibliotekskataloger og websites for enkelte institutioner som musikskolen eller forsyningsselskabet.
Nogle af disse applikationer driver kommunen selv, andre et kommunalt datacenter, et fællesskab af kommuner eller en fagsystemleverandør. Den, der vil lukke en sårbarhed i PHP, må først vide, på hvis servere hvilken applikation kører.
Mindre kommuner har ofte ingen egen it-afdeling. Dér passer en medarbejder fra hovedforvaltningen (Hauptamt) hjemmesiden ved siden af, teknikken ligger hos et bureau, og aftalerne stammer fra en tid, hvor ingen tænkte på kritiske sårbarheder i selve programmeringssproget. Større byer har det modsatte problem: så mange hjemmesider fra forvaltninger, projekter og institutioner, at næppe nogen kender den fuldstændige liste.
Hvad der står på spil på kommunale websites
I formularer og portaler ligger borgeres data: adresser, fødselsdatoer, oplysninger om børn ved institutions- og skoleoptagelser, fotos og placeringer ved fejlmeldinger, ansøgninger. For offentlige myndigheder gælder GDPR og delstaternes databeskyttelseslov, ansvarlig er som regel delstatens tilsynsmyndighed for databeskyttelse.
Mindst lige så tungt vejer integriteten: En kommunes hjemmeside er en officiel kilde. Manipuleret indhold, forfalskede bekendtgørelser eller omdirigeringer til svindelsider i byens navn skader tilliden langt ud over den tekniske skade.
Kommunale domæner nyder tillid hos borgere og søgemaskiner. Netop det gør dem attraktive for angribere: som afsender af spam, som lager for svindelsider eller som platform for falske meldinger, f.eks. om valg, uvejr eller gebyrer.
Kommunen og website-sikkerhedshul: hvem beslutter hvad?
| Rolle | Typisk opgave under hændelsen |
|---|---|
| Kommunalt datacenter eller it-tjenesteudbyder | Server, PHP-pakker, genstart, netadskillelse |
| Hovedforvaltning eller it-koordination | Overordnet styring, bestilling, beredskabsplan |
| Pressestab | Information til borgere og medier |
| Myndighedens databeskyttelsesrådgiver | Vurdering af anmeldelsespligten |
| Webbureau | CMS, udvidelser, indhold |
Hullet opstår ofte mellem datacenter og bureau: Datacentret driver serveren, bureauet vedligeholder TYPO3, og hver side går ud fra, at den anden tager sig af PHP. En opdatering af TYPO3 lukker ikke PHP2Shell.
BSI har vurderet situationen med advarselsniveau 3 / orange og anbefaler en øjeblikkelig opdatering. Kan en kommunal webserver ikke patches med det samme, tag den midlertidigt af nettet og slå en statisk nødside til.
De første timer i forvaltningen
- List alle hjemmesider og fagapplikationer med webadgang, inklusive institutioner og turisme.
- Lad hos den pågældende driftsansvarlige skriftligt bekræfte: PHP på 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller backport indspillet, alle processer genstartet.
- Tag ikke-bekræftede systemer af nettet, eller sikr dem indtil rettelsen med virtuel patching. Cloudflare gør opmærksom på, at regler alene på grundlag af forespørgselsdata ikke er nok; det er en bro, ingen erstatning.
- Sikr logs fra 20.10.2026.
- Informér pressestaben og databeskyttelsesrådgiveren, og koordinér en saglig sprogbrug. Hjælp hertil giver siden om krisekommunikation.
Hvad BSI anbefaler i enkeltheder, sammenfatter siden BSI's anbefalinger om PHP2Shell. Spørgsmål om udbud og nødbestilling afklarer I efter jeres interne regler.
Forebyggelse: nødside, fortegnelse og stedfortræder
Den næste kritiske sårbarhed kommer helt sikkert. Tre forberedelser sparer da timer: en færdig statisk nødside med telefonnumre, åbningstider og henvisninger til hastende anliggender, som kan leveres uden PHP. En vedligeholdt fortegnelse over alle webapplikationer med driftsansvarlig, kontaktperson og aftalegrundlag. Og en stedfortræderordning, så beslutninger som at slukke hjemmesiden også kan træffes om aftenen og i weekenden.
Disse punkter hører hjemme i forvaltningens it-beredskabsplan. Egne driftsenheder, forsyningsselskaber og institutioner med egne websites bør udtrykkeligt indgå deri, fordi de ellers mangler ved registreringen.
Hvordan hjælper PHP SOS konkret?
- Vi understøtter jeres it-koordination med fortegnelsen og afklarer med datacenter, leverandører og bureau, hvem der patcher hvilket system.
- Hvor I selv driver, overtager vi via PHP-patch-servicen opdatering, genstart og skriftlig dokumentation.
- Ved mistanke om kompromittering sikrer vi spor og kontrollerer indhold for manipulation, før hjemmesiden går online igen.
- Vi dokumenterer forløbet, så databeskyttelsesrådgiver, forvaltningsledelse og revision kan følge det.
Ofte stillede spørgsmål
Må vi bare slukke kommunens website?
BSI (det tyske forbundsagentur for informationssikkerhed) anbefaler midlertidigt at tage webservere af nettet, hvis opdateringen ikke kan gennemføres med det samme. For kommuner egner sig en statisk nødside med de vigtigste kontaktveje. Hvem der internt må træffe den beslutning, bør stå i beredskabsplanen.
Er rådsinformationssystemet berørt?
Det afhænger af teknik og drift. Rådsinformationssystemer og onlinetjenester drives ofte af fagsystemleverandører eller kommunale datacentre. Spørg dér konkret om PHP-brug, patchstatus og genstart.
Hvilken databeskyttelsesmyndighed er ansvarlig for kommuner?
For offentlige myndigheder i delstaterne og kommunerne er som regel tilsynsmyndigheden for databeskyttelse i den pågældende delstat ansvarlig. Ved siden af gælder delstaternes databeskyttelseslove. Jeres myndigheds databeskyttelsesrådgiver kender anmeldelsesvejene.