# 22,6 millioner eksponerede instanser: Sådan vurderer I tallene rigtigt

> 22,6 mio. instanser, 2,24 mio. hosts: Hvor mange servere er berørt af PHP2Shell, hvorfor tallene afviger, og hvad de betyder for jeres virksomhed.

Kilde: https://phpsos.de/da/blog/exponierte-instanzen-einordnen/  
Status: 25.10.2026  
Udbyder: PHP SOS, PHP-nødhjælp og serversikkerhed. Akut hjælp på WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20har%20brug%20for%20hj%C3%A6lp%20med%20vores%20PHP-server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kort sagt:** Hvor mange servere der er berørt af PHP2Shell, kan kun anslås. Unit 42 talte ifølge TechTarget mere end 22,6 millioner eksponerede instanser, CybelAngel nævner cirka 2,24 millioner PHP-hosts, BleepingComputer rapporterer med henvisning til VirusTotal om over 5,1 millioner. Tallene måler forskellige ting og modsiger derfor ikke hinanden. For jeres virksomhed tæller et andet tal: hvor mange egne PHP-systemer der er tilgængelige, og hvor mange af dem der dokumenteret er patchet.

## Udgangspunktet: et tal skaber overskrifter

„22 millioner servere i fare“ stod den 21. oktober 2026 i mange overskrifter. Tallet stammer fra Unit 42, Palo Alto Networks' forskningsafdeling, og blev bl.a. refereret af TechTarget. Kort efter cirkulerede andre tal, til dels med en faktor ti mindre.

For læsere opstår indtryk af, at ingen ved besked. I virkeligheden tæller udbyderne blot forskellige ting med forskellige metoder. Den, der forstår det, kan bruge tallene i stedet for at lade sig forurolige af dem.

## Hvor mange servere er berørt af PHP2Shell? Tallene i overblik

| Kilde | Tal | Hvad der blev talt |
|---|---|---|
| Unit 42 (Palo Alto Networks), ifølge TechTarget | mere end 22,6 mio. | eksponerede, potentielt sårbare instanser; metoden er ikke forklaret i rapporten |
| VirusTotal, ifølge BleepingComputer | over 5,1 mio. | PHP-hosts tilgængelige fra internettet |
| CybelAngel, på basis af Shodan-data | cirka 2,24 mio. | hosts, der angiver PHP i deres kendetegn |
| CybelAngel | 59 % af cirka 1,5 mio. | andel af hosts med synlig version på grene uden officiel opdatering |
| CybelAngel | cirka 740.000 | hosts, der angiver PHP, men skjuler deres version |

Alle tal refererer til situationen omkring den 20. og 21. oktober. De er øjebliksbilleder og ændrer sig med hver indspillet opdatering.

## Hvorfor optællingerne ligger så langt fra hinanden

Tre effekter forklarer størstedelen af forskellene.

**Instans, host, website.** En host er som regel en IP-adresse eller en server. En instans kan være en enkelt tjeneste eller et enkelt website. På en server med shared hosting kører der ofte hundredvis af websites. CybelAngel gør selv opmærksom på det: Der tælles hosts, ikke organisationer eller websites, og det faktiske antal tilgængelige applikationer ligger sandsynligvis højere.

**Skjulte versioner.** Mange servere afslører ikke deres PHP-version, f.eks. fordi `expose_php` er slået fra. De mangler i versionsbaserede statistikker. Hvorfor det er fornuftigt at skjule versionen, men ikke kan erstatte beskyttelse, forklarer indlægget om [versionsoplysninger og expose_php](https://phpsos.de/da/blog/expose-php-versionsangaben/).

**Backports.** Distributioner og hostingudbydere indspiller nogle gange rettelser uden at ændre versionsnummeret. En server, der udadtil viser et gammelt nummer, kan altså være patchet. Optællinger ud fra den viste version overvurderer derfor antallet af upatchede systemer. Hvordan I kontrollerer den reelle status hos jer selv, står under [Kontrollér PHP-version og patchstatus](https://phpsos.de/da/php2shell/php-version-pruefen/).

### Sådan opstår den slags optællinger

De fleste tal bygger på søgetjenester, der løbende forespørger internettet og gemmer, hvad servere oplyser om sig selv. En webserver angiver i sine svar ofte software og version, f.eks. i hovedlinjen `X-Powered-By`. CybelAngel støtter sig efter egen fremstilling til sådanne kendetegn fra Shodan-data. Der angribes ikke noget herved, der læses blot, hvad der alligevel er offentligt synligt.

Heraf følger en enkel læseregel for ethvert nyt tal i medierne. Spørg: Hvad blev talt, hosts, instanser eller websites? Hvornår blev der målt, før eller efter den 21. oktober? Og hvordan blev versionen fastlagt, via det viste nummer eller via en reel test? Den, der ikke kan besvare disse tre spørgsmål, bør behandle tallet som en grov størrelsesorden, ikke som en måleværdi.

> **Vigtigt:**
> „Eksponeret“ betyder tilgængelig og ud fra ydre kendetegn muligvis sårbar. Det betyder ikke angrebet og ikke kompromitteret. BSI (det tyske forbundsagentur for informationssikkerhed) kendte indledningsvis ingen bekræftede vellykkede angreb i bredden.

## Hvad tallene alligevel pålideligt viser

Selv om størrelsen svinger, rummer optællingerne tre holdbare udsagn:

1. **Angrebsfladen er enorm.** Selv det mindste tal betyder millioner af tilgængelige mål. Angribere behøver ikke søge, de kan kontrollere automatiseret.
2. **Gamle versioner er udbredte.** Ifølge CybelAngel kørte 59 procent af hostene med synlig version på grene, som PHP-projektet ikke udgiver nogen officiel opdatering til. For disse systemer hjælper ingen hurtig patch, kun en backport, en tredjepartsudbyder eller en migrering. Risiciene beskriver vejledningen [PHP End of Life](https://phpsos.de/da/ratgeber/php-end-of-life-risiken/).
3. **Problemet varer længere.** En stor del af de tilgængelige systemer opdateres ikke i løbet af dage. Scanninger og angrebsforsøg vil derfor formodentlig fortsætte i lang tid.

## Find jeres eget tal

Det globale tal er en overskrift. Jeres eget er en opgave. Sådan når I frem til det:

1. **Indsaml domæner og subdomæner:** fra DNS-zoner, certifikater, kontrakter med bureauer og hostingudbydere.
2. **Tilknyt tilgængelige tjenester:** Hvilken server står bag hvilken adresse, og hvem driver den?
3. **Opgør PHP-status for hvert system:** version, driftsform, pakkekilde, bekræftelse af backport.
4. **Vurdér resultatet:** patchet og dokumenteret, patchet uden dokumentation, upatchet, ukendt.
5. **Luk hullerne:** Afklar først det ukendte, og handl først på det upatchede.

Til sidst står en kort liste i stedet for et stort tal. Hvordan I vedligeholder inventaret løbende, beskriver indlægget [Inventar over alle websites og servere](https://phpsos.de/da/blog/inventar-websites-server/).

## Hvordan hjælper PHP SOS konkret?

- **Udefra:** Vi fastslår, hvilke af jeres systemer der er tilgængelige fra internettet, og hvilke af dem der bruger PHP.
- **Indefra:** Vi kontrollerer patchstatus og genstart på serverne, ikke kun den viste version.
- **Vurdering:** I modtager en liste med status for hvert system og en klar rækkefølge.
- **Efterprøvning:** Efter patchen tester vi på ønske udefra, om situationen har forbedret sig som forventet.

Hvordan sådan en kontrol forløber, beskriver [Sikkerhedsaudit og penetrationstest](https://phpsos.de/da/leistungen/sicherheitsaudit-penetrationstest/).

## Konklusion

22,6 millioner, 5,1 millioner, 2,24 millioner: Tallene virker modstridende, men måler blot forskellige ting. Sammen viser de, at PHP2Shell berører en meget stor angrebsflade, og at mange gamle versioner står på nettet. Det tal, der afgør jeres risiko, leverer ingen undersøgelse. Det opstår kun ved at kigge på jeres egne systemer.


## Ofte stillede spørgsmål

**Hvor mange servere er berørt af PHP2Shell?**  
Det ved ingen præcist. Unit 42 fra Palo Alto Networks talte ifølge TechTarget mere end 22,6 millioner eksponerede, potentielt sårbare instanser. CybelAngel nævner cirka 2,24 millioner hosts, der er tilgængelige fra internettet og angiver PHP. Tallene måler forskellige ting og kan ikke sammenlignes direkte.

**Hvorfor afviger tallene så meget fra hinanden?**  
Fordi der tælles forskellige ting: instanser, hosts, IP-adresser eller tjenester. På en host med shared hosting kan der ligge hundredvis af websites. Desuden viser mange servere ikke deres PHP-version, og andre viser et gammelt nummer, selv om en backport er indspillet.

**Betyder eksponeret, at en server er blevet angrebet?**  
Nej. Eksponeret betyder blot, at en PHP-tjeneste er tilgængelig fra internettet og ud fra ydre kendetegn kan være sårbar. Om faktiske angreb siger disse optællinger intet.

**Hvilket tal er vigtigt for min virksomhed?**  
Antallet af jeres egne offentligt tilgængelige PHP-systemer, og hvor mange af dem der dokumenteret er patchet. De globale tal viser omfanget, men erstatter ikke jeres eget inventar.

## Kilder

- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [CybelAngel: Critical PHP RCE vulnerabilities CVE-2026-109618 and CVE-2026-109619](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)
- [BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws](https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws)
- [PHP: Understøttede versioner](https://www.php.net/supported-versions.php)