Aula blev lukket for PHP-fejl – ingen tegn på udnyttelse

KOMBITs redegørelse af 23. oktober 2026 beskriver, at Aula og andre fælleskommunale løsninger blev lukket forebyggende den 21. oktober efter et varsel om en potentielt kritisk PHP-sårbarhed. Aula var tilbage i normal drift kl. 23.45 samme aften. De berørte løsninger er opdateret og kører normalt igen, og der er ingen indikationer på, at sårbarheden blev udnyttet i dem.

Haderslev Kommunes driftsmelding bekræftede, at Aula igen var tilgængelig torsdag morgen efter lukningen onsdag. Kommunen skrev, at borgerne ville få yderligere besked, hvis de skulle foretage sig noget. Der er dermed ikke meldt en særlig handling ud til almindelige Aula-brugere på grund af hændelsen.

Fra varsel til genåbning

Varslet fik KOMBIT til at undersøge, hvilke af selskabets fælleskommunale løsninger der potentielt kunne være eksponeret. Vurderingen førte til en midlertidig lukning, mens de nødvendige sikkerhedstiltag blev gennemført. Lukningen var en forholdsregel over for en mulig teknisk risiko, ikke resultatet af et konstateret angreb på Aula.

Kommunerne blev orienteret undervejs, blandt andet via Mattermost, og hændelsen blev indberettet efter NIS2-reglerne. KOMBIT kontaktede også andre leverandører for at afklare, om flere løsninger kunne være påvirket. Efter sikkerhedsopdateringerne blev de berørte tjenester genåbnet gradvist. Det forklarer, hvorfor en bruger kunne opleve, at én kommunal tjeneste virkede igen, mens en anden fortsat var utilgængelig.

Disse kommunale løsninger var berørt

Ud over Aula omfattede den forebyggende lukning dele af Fælles Biblioteksinfrastruktur samt KLIK og Digitaliseringskataloget. Afgrænsningen gælder de løsninger, som vurderingen pegede på som potentielt berørte; den gør ikke alle kommunale it-systemer til en del af hændelsen. Haderslev Kommune nævnte også bibliotek.dk i sin lokale driftsmelding.

For forældre, elever og ansatte var afbrydelsen af Aula den mest synlige konsekvens: Den sædvanlige kommunikationskanal mellem skole eller dagtilbud og hjem var midlertidigt utilgængelig. For kommunerne omfattede håndteringen desuden de øvrige navngivne løsninger og behovet for løbende driftsinformation. Den fælles årsag var en mulig risiko i PHP, men lukningen og genåbningen blev håndteret for de enkelte løsninger.

Hvad ved man om data?

Den offentliggjorte status er, at der ikke er fundet tegn på udnyttelse i de berørte løsninger. Det giver ikke grundlag for at sige, at oplysninger i Aula blev tilgået eller kopieret som følge af PHP-fejlen. Det er samtidig en præcis afgrænsning af, hvad undersøgelsen har vist: Fravær af indikationer er ikke det samme som en påstand om, at en sårbarhed aldrig kunne have været udnyttet.

En mulig eksponering beskriver en teknisk åbning, som nogen kunne forsøge at bruge. Konstateret udnyttelse kræver tegn på, at det faktisk er sket. Derfor kan beslutningen om at lukke Aula være velbegrundet, selv om undersøgelsen ikke har påvist misbrug. Sikkerhedsopdateringen fjerner den relevante risiko fremadrettet; vurderingen af tidligere aktivitet besvarer et andet spørgsmål. Den forskel er afgørende, når man skal forstå både nedlukningen og meldingen om data.

Hvorfor PHP stadig skal opdateres

Det nederlandske cybersikkerhedscenter beskriver i sin opdaterede PHP-advarsel to kritiske sårbarheder og anbefaler PHP 8.5.12, 8.4.27, 8.3.36 eller 8.2.35. Advarslen gælder PHP-installationer generelt; den fastslår ikke, at begge fejl fandtes i Aula. Rettelserne er relevante, fordi en installation kan være sårbar, selv om der endnu ikke er fundet tegn på, at nogen har udnyttet fejlen.

Centeret vurderer, at udnyttelse er mere kompliceret, og at risikoen for omfattende misbrug er mindre end først antaget. Det omtaler også en melding om mulig udnyttelse i udlandet, hvor et vellykket angreb ikke er bekræftet. Ingen af delene ændrer status for de danske løsninger eller gør opdatering valgfri: Risikoen for en endnu sårbar installation består, indtil den relevante rettelse er gennemført.

For PHP, der leveres gennem en Linux-distribution eller en leverandør med langvarig support, kan rettelsen komme som en leverandøropdatering uden et skift til et af de nævnte versionsnumre. Ældre PHP-versioner får ikke længere almindelige opdateringer fra PHP-projektet, selv om der er stillet begrænsede kildekoderettelser til rådighed for nogle af dem. Midlertidige afværgetiltag kan begrænse bestemte angrebsveje, men de erstatter ikke sikkerhedsopdateringen. En driftsansvarlig må derfor kontrollere, om netop den installerede udgave har fået rettelsen.

Betydningen for Aula-brugerne

Aula-brugere skal ikke selv installere PHP-rettelsen; den hører til driften af tjenesten. Forældre, elever og medarbejdere kan bruge Aula igen efter afbrydelsen. Den lokale melding fra Haderslev lægger op til en særskilt besked, hvis borgere senere skal gøre noget som følge af hændelsen. Indtil da er den konkrete ændring for brugerne, at den sædvanlige kommunikationskanal er tilbage.

Læs også:

• Microsoft lukker over 1.400 huller – ét blev allerede udnyttet
• GitLab-fejl får maksimal score – selvhostede servere skal opdateres nu
• NetScaler-fejl udnyttes aktivt – SAML-login kan blive slået ud