SIKKERHED · 8 MIN. LÆSNING
Black October forklaret: de fem trusler, og hvad I skal gøre
PHP2Shell, CPR-lækket, AI-agenter i banken og angreb gennem leverandører. Vi forklarer Black October enkelt og uden panik.
Hvad er Black October?
Black October er ikke ét angreb. Det er det navn, mange bruger om oktober 2026, hvor flere alvorlige sager ramte på kort tid. Et sikkerhedshul i en stor del af internettets hjemmesider. Et datalæk med 8,8 millioner danskeres CPR-numre. Banker, der lukker for AI. Og hackere, der kommer ind gennem de programmer, vi stoler på.
På de sociale medier går en grafik rundt, der kalder det "de vigtigste 48 timer i cybersikkerhedens historie". Så dramatisk behøver I ikke tage det. Men I skal tage det alvorligt.
Her forklarer vi de fem trusler én for én: hvad der er sket, hvad det betyder for jer, og hvad I gør ved det. Til sidst får I de tre ting, der beskytter mod det meste.
1. PHP2Shell: et hul i internettets fundament
Hvad er sket: Den 20. oktober advarede PHP om to kritiske fejl, kaldet PHP2Shell. PHP er det sprog, der driver omkring 70 % af de hjemmesider, hvor man kan se sproget. Fejlene lader en fremmed tage kontrollen over serveren bag en hjemmeside uden at logge ind. PHP vurderer dem til 9,2 ud af 10 i alvor.
Rettelserne kom den 21. oktober. Cloudflare så de første angrebsforsøg, allerede før rettelsen var ude. DMI, Aula, Vejdirektoratet og Københavns Kommune lukkede deres sider, mens de opdaterede.
Hvad det betyder for jer: Har I en hjemmeside, webshop eller kundeportal, kører den sandsynligvis på PHP. Jeres egne computere og telefoner er ikke ramt.
Det gør I: Spørg jeres webhotel eller leverandør, om PHP er opdateret til version 8.2.35, 8.3.36, 8.4.27 eller 8.5.12. Kører I en ældre version, så læs Kan det ikke opdateres? Så luk det eller skjul det.
2. AI-agenter med adgang til bankkontoen
Hvad er sket: AI-agenter er AI, der ikke bare svarer, men handler på jeres vegne. Nogle kan logge ind på en netbank, se saldoen og flytte penge. Den 16. oktober meldte de amerikanske storbanker Citi og Bank of America, at de begrænser AI-agenters adgang til kundernes konti. Begrundelsen var bekymring for fejlhåndtering af kundernes penge.
Der er ikke rapporteret konkrete svindelsager i den forbindelse. Men når to af verdens største banker trækker i håndbremsen, er det et klart signal.
Hvad det betyder for jer: En AI med adgang til jeres bank er et nyt sted, hackere kan gå efter. Narrer de AI'en, kan den gøre ting, I aldrig selv ville have godkendt.
Det gør I: Giv ikke AI-værktøjer adgang til netbank eller betalinger. Lad betalinger altid blive godkendt af et menneske, og brug en fast procedure, som den vi beskriver i Procedurer i en AI-tid.
3. Store datalæk: CPR-sagen rammer os alle
Hvad er sket: Den 5. oktober fortalte regeringen, at uvedkommende havde haft adgang til CPR-registret. Adgangen gik gennem Pays ApS, et lille firma i Odense med lovlig adgang til at slå op i registret. Ifølge Politiken brugte mindst tre af firmaets konti, herunder en administrator, kodeordet "123456".
Myndighederne har bekræftet, at der var adgang til navne, adresser og CPR-numre på omkring 8,8 millioner mennesker. Det tal tæller også døde og folk, der er flyttet fra Danmark. Adgangen varede i cirka tre uger fra 10. september, og der blev lavet omkring 14 millioner opslag. Det blev opdaget, fordi regningen for opslagene var usædvanligt høj.
Hvad det betyder for jer: Et CPR-nummer alene er ikke nok til at overtage jeres MitID. Men det gør svindel mere troværdig. En svindler, der kender jeres navn, adresse og CPR-nummer, lyder som en, der ringer fra banken eller en myndighed.
Det gør I: Vær ekstra skeptiske over for opkald, sms'er og mails, der kender jeres oplysninger. Del aldrig kodeord eller engangskoder. Og som virksomhed: Brug aldrig svage kodeord, og sæt to-faktor på alle konti. Det var det, der manglede her.
4. Angreb gennem de programmer, I stoler på
Hvad er sket: Den 15. oktober fortalte Googles trusselsteam, at hackere havde manipuleret opdateringerne til AOMEI Backupper og AnyViewer, to udbredte programmer til backup og fjernsupport. I korte vinduer på fem til ti minutter mellem april og juli 2026 fik computere, der tjekkede for opdateringer, en skjult bagdør i stedet.
Ofrene var IT-virksomheder, teleselskaber og uddannelsesinstitutioner i 11 lande. Hvor mange der blev ramt, er ikke oplyst.
Hvad det betyder for jer: Det kaldes et angreb på forsyningskæden. Hackerne bryder ikke ind hos jer. De bryder ind hos en leverandør, I stoler på, og kommer med næste opdatering. Det er svært at opdage, fordi alt ser normalt ud. Bemærk ironien: Det var et backupprogram, altså det, der skulle redde jer.
Det gør I: Hav overblik over de programmer, der har adgang til jeres systemer. Brug sikkerhed, der holder øje med, hvad programmerne gør, ikke kun hvad de hedder. Og stil krav til jeres leverandører om sikkerhed.
5. Mange alvorlige huller på kort tid
Hvad er sket: PHP2Shell står ikke alene. I juli kom wp2shell, to fejl i selve WordPress, som hackere udnyttede aktivt. Og i en lækket server fra to ransomware-grupper kunne man se, at de gik efter kendte huller i Fortinet, SonicWall, SimpleHelp og cPanel, alle med rettelser, der allerede fandtes.
Det nye er farten. PHP2Shell blev fundet med hjælp fra AI. Og hackerne bruger også AI til at planlægge og køre angreb mod mange virksomheder på én gang. Vi har skrevet om det her.
Hvad det betyder for jer: Tiden fra et hul bliver kendt, til nogen prøver det af på jer, bliver kortere. Dansk Industri og Styrelsen for Samfundssikkerhed sagde det tydeligt under PHP2Shell: timer, ikke dage.
Det gør I: Gå ud fra, at et kendt hul bliver udnyttet. Opdatér hurtigt, og hav nogen, der holder øje, når I ikke selv kan.
Tre ting, der beskytter mod det meste
Fem trusler lyder af meget. Men næsten dem alle bliver stoppet af de samme tre ting:
Opdatér alt: De fleste angreb bruger huller, hvor rettelsen allerede findes. Stopper: PHP2Shell, wp2shell, Fortinet, SonicWall.
To-faktor overalt: Et stjålet eller svagt kodeord er ikke nok, når der også kræves en kode på telefonen. Stopper: CPR-sagens "123456", genbrugte kodeord.
Beskyt jeres konti: Ingen genbrugte kodeord, ingen AI med adgang til betalinger, og et menneske godkender altid penge, der flyttes. Stopper: AI-agenter, svindelopkald, afpresning.
Og så en fjerde, der binder det sammen: Hav nogen, der holder øje. Et angreb gennem en leverandør som AOMEI ser normalt ud for jer, men ikke for et sikkerhedssystem, der holder øje med, hvad programmerne gør.
Sådan hjælper vi
IT-drift holder jeres systemer opdateret, så I ikke står med åbne huller.
Trend AI holder øje med, hvad programmerne gør, og stopper det, der ikke hører hjemme. Når vi har lukket, står Trend AI vagt døgnet rundt.
Phish Insights træner medarbejderne i at genkende svindel, også når svindleren kender deres CPR-nummer.
Cloud backup ligger adskilt fra jeres netværk, så I kan genskabe, hvis det går galt.
Privat: Med Beskyt computeren har I en dansker i røret, når noget virker forkert.
Er I i tvivl om, hvor I står? Erhverv: 82 82 82 95. Privat: 82 82 82 35.
Ofte stillede spørgsmål
Er Black October et officielt navn?
Nej. Det er et navn, mange bruger om oktober 2026, hvor flere alvorlige sager kom på kort tid.
Er mit CPR-nummer lækket?
Myndighederne har bekræftet adgang til oplysninger om omkring 8,8 millioner mennesker. Gå ud fra, at jeres kan være blandt dem, og vær ekstra varsomme med opkald og beskeder.
Kan nogen overtage mit MitID med mit CPR-nummer?
Nej, ikke med CPR-nummeret alene. Men del aldrig kodeord eller engangskoder med nogen.
Er min computer ramt af PHP2Shell?
Nej. Fejlen sidder i serverne bag hjemmesider.
Må vi bruge AI-agenter til betalinger?
Vi fraråder det. Lad et menneske godkende alle betalinger.