Dette betyr PHP avdekkningen for studenter

Under Dusken har spurt to eksperter om to svært kritiske hull i programmeringsspråket PHP som ble kjent onsdag morgen. 

Instituttleder og professor Basel Katt ved institutt for informasjonssikkerhet og kommunikasjonsteknologi ved NTNU kan forklare hva som har skjedd.

– IT-verdenen opplever et digitalt jordskjelv etter at to ekstremt kritiske sårbarheter i PHPs kjerne ble lekket før tiden, noe som tvang frem en global nødssituasjon for over 70 prosent av verdens nettsider, forteller Katt.

Også førsteamanuensis Tjerand Slide ved institutt for informasjonssikkerhet og kommunikasjonsteknologi på NTNU skriver om omfanget av PHP som sikkerhetsforsker.

– PHP er gratis, enkelt å komme i gang med og støttes av nesten alle webhoteller. Derfor er det blitt standardvalget for alt fra studentforeninger til kommuner og nettbutikker, skriver Silde.

Videre skriver han at det er både vanskelig å omslå omfanget til sårbarheten til lekkasjen. 

– Omfanget er enormt. Fordi feilen sitter i selve språket, er det en komponent som «alle» bruker uten å tenke over det, skriver Silde. 

Katt trekker også frem dette. 

– Vi snakker om millioner av potensielt sårbare systemer, skriver Katt i en epost til Under Dusken.

Alle hjørner av kloden er påvirket, også studenter sin hverdag er berørt.

– Studenter og utdanningssektoren er direkte berørt og har allerede opplevd at viktige digitale verktøy plutselig har gått i svart, skriver Katt. 

– Feide var nede

Feide er en nasjonal løsning for sikker innlogging som mange bruker for å logge inn blant annet på Canvas og e-post. Kommunikasjonssjef Åshild Berg-Tesdal i Sikt forklarer hvordan Feide ble påvirket av sikkerhetsbruddene. 

– Feide var stengt ned nesten en time på onsdag mens vi installerte sikkerhetsoppdateringen, sier Åshild Berg-Tesdal. 

Sikt er en statlig IT-leverandør som lever tjenester for kunnskapsektoren. Mange av de digitale systemene NTNU bruker er derfor levert av Sikt, for eksempel Canvas. 

– Canvas bruker ikke PHP og er dermed ikke berørt at det som har skjedd, sier Berg-Tesdal. 

Ellers sier Berg-Tesdal at ingen systemer som studenter bruker skal ha blitt rammet av sikringstiltakene. Andre systemer som kan ha sensitive personopplysninger om studenter er Samskipnaden i Trondheim(Sit).  

Under Dusken har tidligere i høst skrevet om dataangrep på studentsamskipnaden i Trondheim (Sit). IT-sjef Espen Fjeldset i Sit forklarer hvordan Samskipnaden i Trondheim er påvirket av sikkerhetsbruddene. 

– Vi har ingen PHP-baserte systemer som vi drifter selv, forteller Fjeldset.  

Sit holder seg oppdatert på svakhetene i det store nettverket av leverandører i IT-tjenester. 

–Vi kjøper tjenester av andre leverandører som har PHP-baserte systemer. I en situasjon som dette kontakter Sit de leverandørene som kan være berørt, for å følge opp hvordan de håndterer svakhetene, utdyper Fjeldset. 

Begge de offentligeide bedriftene følger de tiltakene som er anbefalt tett. 

Disse offisielle tjenestene har ofte noen på jobb som følger med på nettsiden. Det samme kan ikke nødvendigvis sies om studentfrivilligheten. 

– Svært mange nettsteder kjører gamle PHP-versjoner som ikke lenger får sikkerhetsoppdateringer. Mange sider er også satt opp én gang og deretter glemt, skriver Silde. 

Frivillighet sin sikkerhet

Samfundet, som en av den største studentorganisasjonen i Trondheim, har også måtte forholde seg til trusselen.

– Dette er noe som rammer alle virksomheter i 2026, da alle har en digital tilstedeværelse. På Samfundet er vi ikke veldig bekymret, sier Leder av Studentersamfundet, Ulrik Dager Sneve. 

Han utdyper videre:

– Vi har utviklet en del selv. Mitt inntrykk er at vi har mer kontroll enn om vi hadde fått levert en pakke fra en leverandør, sier Sneve.

Han trekker frem at styret forholder seg til det med tillit til de frivillige IT-driftene. Han trekker frem at Samfundet ikke lagrer sensitive opplysninger om sine medlemmer og at det er liten grunn til bekymring. 

– Jeg vet at folkene på huset som har ansvaret har gjort det de skal gjøre for at det skal være i orden og alt er i orden i forbindelse med PHP-sikkerhetsbruddene, forklarer Sneve. 

PHP er usikkert

Silde trekker frem at trusselen for frivillighet ofte er at de ikke har folkene, kompetansen eller kontinuerligheten for vedlikehold av nettsider.

– Utfordringen er derfor ikke først og fremst at PHP er spesielt usikkert, men at det er så utbredt og dårlig vedlikeholdt i mange miljøer, skriver Silde.

Det å ha kompetanse om vedlikehold av internett er mangelvare.

– Mye av nettet driftes av folk som ikke har sikkerhet som jobb, og mange systemer har ingen som lenger føler eierskap til dem, skriver Silde. 

Ansvaret for å fikse sårbarheten er delt i organisasjonene.

– PHP-prosjektet har gjort sin del ved å rette opp feilene. Deretter ligger ansvaret hos den som drifter tjenesten: webhotellet, IT-avdelingen eller frivillige i en forening som satte opp en WordPress-side for flere år siden, avsluttet Silde.