Publicerad:
21 oktober 2026 kl. 23:13:46
I den här artiklen får du lära dig:
Vad säkerhetslarmet innebär.
Varför svenska skolor behöver agera.
Hur rektor kan minska riskerna.
Akut säkerhetslarm om PHP – så skyddar rektor skolans digitala system
Två kritiska sårbarheter i PHP kan ge angripare möjlighet att köra skadlig kod på servrar utan inloggning. CERT-SE varnar och säkerhetsuppdateringar finns. Rektor bör omedelbart begära besked från IT-ansvariga och leverantörer om berörda system, uppdateringar och eventuella intrång.
Snabbversion
CERT-SE varnade den 21 oktober 2026 för två kritiska säkerhetsbrister i PHP som kan göra det möjligt att angripa sårbara webbservrar utan inloggning. Svenska skolor kan påverkas om deras webbplatser eller digitala tjänster använder berörda versioner. Rektorer bör därför begära en lägesrapport från IT-ansvariga och säkerställa att systemleverantörer genomför nödvändiga säkerhetsuppdateringar. Sårbarheterna innebär inte att alla skolor har drabbats, men kräver skyndsam kontroll av berörda system.
Två kritiska säkerhetsbrister i PHP – myndigheter varnar för allvarliga cyberangrepp
Det började med en säkerhetsvarning. Nu har den vuxit till ett internationellt cybersäkerhetslarm som även svenska skolor och huvudmän behöver ta på allvar.
Den 21 oktober 2026 varnade Sveriges nationella cybersäkerhetsfunktion CERT-SE för två kritiska sårbarheter i programmeringsspråket PHP. Bristerna, CVE-2026-109618 och CVE-2026-109619, har båda fått allvarlighetsgraden 9,2 av 10 enligt säkerhetsskalan CVSS 4.0.
Sårbarheterna kan under vissa förutsättningar göra det möjligt för en angripare att köra skadlig kod på en server utan att först behöva logga in. Konsekvenserna kan bli allt från driftstörningar till obehörig åtkomst till information och komprometterade system.
PHP används bakom många webbplatser och digitala tjänster. Därför kan även organisationer som inte själva utvecklar programvara i PHP vara berörda genom externa leverantörer.
Säkerhetsuppdateringar publicerades under onsdagen. CERT-SE och EU:s cybersäkerhetsmyndighet ENISA uppmanar organisationer att omedelbart identifiera berörda system och genomföra nödvändiga uppdateringar.
Partnerinnehåll
Skolans digitala system kan vara sårbara – även när tekniken sköts av leverantörer
För en rektor är PHP kanske bara tre bokstäver utan betydelse. Men bakom en till synes vanlig digital tjänst kan det finnas teknik som skolan aldrig själv har behövt ta ställning till.
Skolans webbplats, digitala formulär, bokningssystem och vissa administrativa tjänster kan bygga på PHP. Om dessa använder berörda versioner och saknar säkerhetsuppdateringar kan det finnas en risk för intrång.
Det betyder inte att alla skolplattformar är sårbara eller att svenska skolor har drabbats av just dessa angrepp. Men det är heller inte tillräckligt att förutsätta att en extern leverantör har kontroll.
Skolor hanterar uppgifter om barn, vårdnadshavare och personal. Ett intrång kan därför få konsekvenser som sträcker sig långt utanför IT-avdelningen.
Skolverket betonar att skolor och huvudmän har skyldigheter att skydda personuppgifter och arbeta förebyggande med informationssäkerhet.
Rektorns uppgift är inte att installera programuppdateringar. Däremot behöver skolledningen säkerställa att ansvariga IT-funktioner och leverantörer agerar, att kritiska tjänster prioriteras och att det finns beredskap om ett system behöver stängas av.
Om personuppgifter påverkas kan huvudmannen eller annan personuppgiftsansvarig också behöva göra en incidentanmälan till Integritetsskyddsmyndigheten, IMY. Anmälningspliktiga incidenter ska som huvudregel anmälas inom 72 timmar från att den personuppgiftsansvariga fått vetskap om incidenten.
Fem frågor varje rektor bör ställa till IT-ansvariga redan i dag
Skolledningen behöver inte kunna programmera för att agera på säkerhetsvarningen. Det avgörande är att rätt frågor ställs och att svaren går att följa upp.
Fem åtgärder som bör prioriteras:
1. Kartlägg berörda system. Be IT-ansvariga identifiera vilka av skolans egna och externt levererade tjänster som använder PHP. Glöm inte webbplatser, formulär och äldre administrativa system.
2. Begär besked om säkerhetsuppdateringar. Kontrollera att berörda system har uppdaterats enligt PHP:s och leverantörernas aktuella rekommendationer. Begär tydlig återkoppling om vad som har åtgärdats.
3. Kontrollera externa leverantörer. Kontakta leverantörer av berörda skolplattformar, webbplatser och andra digitala tjänster. Fråga om deras system påverkas, när uppdateringar genomförs och hur eventuella incidenter rapporteras.
4. Förbered tillfälliga avbrott. Om ett internetexponerat system inte kan uppdateras behöver IT-ansvariga bedöma om det ska isoleras tills sårbarheten är åtgärdad.
5. Begär en dokumenterad lägesrapport. Säkerställ att IT-funktionen undersöker eventuella tecken på intrång och återkopplar till skolledningen och huvudmannen.
CERT-SE rekommenderar att organisationer agerar skyndsamt. Om uppdatering inte är möjlig bör berörda internetexponerade tjänster isoleras från publika nätverk.
Säkerhetslarmet visar varför cybersäkerhet måste bli en ledningsfråga
De två PHP-sårbarheterna är ytterligare en påminnelse om hur beroende skolan har blivit av digital infrastruktur. När tekniken fungerar är den nästan osynlig. När den slutar fungera kan konsekvenserna snabbt påverka undervisning, administration och kommunikation.
Den stora utmaningen för skolledare handlar därför inte bara om att hantera dagens säkerhetsbrister. Den handlar om att skapa en organisation som kan reagera snabbt även nästa gång.
Det kräver tydliga ansvarsförhållanden mellan rektor, huvudman, IT-avdelning och externa leverantörer. Vem följer säkerhetsvarningar? Vem beslutar om ett system ska stängas? Vem kontrollerar att leverantörerna har genomfört uppdateringar? Och hur fortsätter verksamheten om en viktig digital tjänst plötsligt blir otillgänglig?
Just denna säkerhetsvarning visar hur snabbt förutsättningarna kan förändras. PHP:s säkerhetsgrupp har publicerat korrigerade versioner: 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Äldre versioner, från PHP 8.1 och bakåt, får inte längre ordinarie säkerhetsuppdateringar från PHP-projektet. Vissa operativsystems- och supportleverantörer erbjuder dock särskilda säkerhetsfixar för äldre versioner.
Det innebär att även upphandling och leverantörskontroll behöver ses över. En skola som köper en digital tjänst bör inte bara fråga vad systemet kan göra, utan också hur det underhålls, hur snabbt kritiska sårbarheter åtgärdas och vilket stöd som finns vid en incident.
Framöver blir det särskilt viktigt att säkerställa att leverantörsavtal innehåller tydliga krav på säkerhetsuppdateringar, incidentrapportering, återställning och ansvarsfördelning. Huvudmannen behöver också veta vilka system verksamheten är beroende av och hur undervisningen kan fortsätta vid ett längre driftavbrott.
Det aktuella säkerhetslarmet är allvarligt, men det finns fungerande skyddsåtgärder. Det viktigaste är att berörda system identifieras och uppdateras, inte att skolor stänger digitala tjänster utan grund.
För rektor finns en konkret uppgift redan nu: begär en lägesrapport från IT-ansvariga, säkerställ att leverantörerna har kontaktats och följ upp de åtgärder som behöver genomföras.
Cybersäkerhet är inte längre en fråga som enbart kan lämnas åt teknikerna. Det är en del av ansvaret för en trygg och fungerande skolverksamhet.
Vanliga frågor om PHP-sårbarheterna
Vilka digitala skolsystem kan påverkas av PHP-sårbarheterna?
Webbplatser, administrativa tjänster, formulärsystem och andra digitala lösningar som använder berörda PHP-versioner kan vara sårbara. Det gäller även tjänster som drivs av externa leverantörer. Alla skolplattformar använder dock inte PHP, och varje system behöver därför kontrolleras individuellt.
Vad ska en rektor göra med anledning av säkerhetslarmet?
Rektor bör omedelbart kontakta huvudmannens IT-ansvariga och begära besked om vilka system som kan vara berörda. Skolledningen behöver säkerställa att säkerhetsuppdateringar genomförs, att leverantörerna kontrolleras och att eventuella tecken på intrång utreds. Det tekniska arbetet ska genomföras av behörig IT-personal.
Fakta:
Varningen: CERT-SE publicerade den 21 oktober 2026 en varning om två kritiska sårbarheter i PHP.
Sårbarheterna: CVE-2026-109618 och CVE-2026-109619. Båda har allvarlighetsgraden 9,2 av 10 enligt CVSS 4.0.
Påverkade system: PHP 5 och senare versioner omfattas av varningen. Den faktiska risken beror på systemets tekniska utformning och säkerhetsuppdateringar.
Säkerhetsuppdateringar: PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35 innehåller säkerhetsfixarna. Äldre versioner kan kräva särskilda leverantörsuppdateringar eller uppgradering.
Rekommendation: Identifiera berörda tjänster, genomför uppdateringar och undersök eventuella intrång. Isolera internetexponerade system om de inte kan uppdateras omedelbart.
Källor: CERT-SE, PHP Security Team och ENISA.
Källa: Skolledare.se – Sveriges plattform för rektorer och skolchefer.