# Få malware og webshells fjernet fra websitet

> Få malware på websitet fjernet: Vi finder webshells og bagdøre, renser fra rene kilder og lukker indgangen varigt. Hjælp til virksomheder.

Kilde: https://phpsos.de/da/leistungen/malware-entfernung/  
Status: 25.10.2026  
Udbyder: PHP SOS, PHP-nødhjælp og serversikkerhed. Akut hjælp på WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20har%20brug%20for%20hj%C3%A6lp%20med%20vores%20PHP-server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kort sagt:** Hvis I vil have malware fjernet fra jeres website, er det sjældent nok at slette enkelte filer. Vi sikrer først fundet, finder webshells, bagdøre og skjulte opgaver, genopbygger fra pålidelige kilder og lukker indgangen. Først da holder oprydningen.

## Sådan genkender I malware på websitet

Skadelig kode på websites opdages ofte først indirekte. Typisk er omdirigeringer til fremmede sider, spamindhold, der kun er synligt for søgemaskiner eller mobile enheder, en Google-advarsel i søgeresultatet, klager fra kunder eller en spærring fra hostingudbyderen på grund af spamudsendelse. På serveren viser der sig ukendte PHP-filer, nye administratorkonti, ændrede `.htaccess`-filer eller uforklarlige cronjobs.

Efter PHP2Shell kommer der en yderligere bekymring til: Via CVE-2026-109618 og CVE-2026-109619 kan angribere køre kode uden login. Der findes ingen offentliggjorte, bekræftede Indicators of Compromise; opdagelse bygger på adfærdsanalyse. Hvordan webshells typisk ser ud, og hvor de ligger, beskriver [Genkend og fjern webshells](https://phpsos.de/da/ratgeber/webshell-erkennen/).

## Få malware fjernet fra websitet: hvorfor grundighed er vigtigere end fart

Angribere lægger sjældent kun én fil. Almindeligt er flere bagdøre forskellige steder: i upload-mapper, i plugins eller temaer, i must-use-plugins, i databasen, i cronjobs eller i ekstra brugerkonti. Hvis kun den mest iøjnefaldende fil slettes, kommer den skadelige kode tilbage.

Samtidig er den angrebne tilstand et bevismiddel. Den, der renser for hurtigt, mister muligheden for at fastslå, om kundedata er berørt. Derfor sikrer vi før enhver ændring. Det koster kort tid og holder alle veje åbne for jer, også en senere anmeldelse til tilsynsmyndigheden eller forsikringsselskabet.

> **Vigtigt:**
> En PHP-opdatering eller en CMS-opdatering fjerner ikke skadelig software, der allerede ligger på serveren. Og et renset website bliver angrebet igen, så længe indgangen er åben.

## Hvor skadelig kode typisk gemmer sig

De følgende steder kontrollerer vi ved enhver oprydning, fordi de i praksis gang på gang er berørt:

| Sted | Typisk fund |
|---|---|
| Upload-mapper | PHP-filer med harmløst udseende navne eller camoufleret som billeder |
| Plugins, temaer, moduler | ekstra filer eller ændrede originalfiler |
| Konfiguration | indsmuglede linjer i `.htaccess`, `.user.ini` eller indgangsfiler |
| Database | fremmede administratorkonti, scripts i indhold eller indstillinger |
| System | cronjobs, ekstra SSH-nøgler, processer uden synligt formål |
| Caches og midlertidige mapper | kopier af skadelig kode, som dukker op igen efter sletning |

Vigtig er sammenhængen: Et enkelt fund forklarer sjældent hele hændelsen. Først det samlede billede viser, hvordan angriberen er gået frem, og om vedkommende har taget adgangsdata med.

## Hvordan hjælper PHP SOS konkret?

1. **Sikre:** Vi opretter en kopi af filer, database og logs i den angrebne tilstand. Den bevares til en senere analyse.
2. **Søge:** Vi sammenligner programfiler med producentens originaler, kontrollerer upload-mapper for eksekverbar kode og gennemsøger database, cronjobs, brugerkonti og serverkonfiguration. I WordPress-miljøer går vi frem som beskrevet under [Find bagdøre i WordPress](https://phpsos.de/da/ratgeber/backdoor-wordpress-finden/).
3. **Rense:** Kerne, udvidelser og temaer installerer vi påny fra pålidelige kilder i stedet for at lappe mistænkelige filer enkeltvis. Egne indhold og uploads kontrollerer vi særskilt og overtager kun det, der er uproblematisk.
4. **Lukke årsagen:** Vi retter PHP og applikation, fjerner fremmede konti og udskifter alle adgangsdata og nøgler, som angriberen kan have set.
5. **Efterkontrol:** Vi holder øje med websitet efter oprydningen for nye ændringer og hjælper jer med at få en Google-advarsel kontrolleret via Search Console. Mere herom under [Fjern Google-advarsel](https://phpsos.de/da/ratgeber/google-warnung-entfernen/).

Til administratorer et ufarligt første blik på for nylig ændrede PHP-filer:

```bash
# PHP-filer i webmappen, som er ændret inden for de seneste 10 dage
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
```

Resultatet er et fingerpeg, ikke et bevis: Angribere kan ændre tidsstempler.

## Hvad I får, og hvad vi har brug for

I får en rapport med de fundne skadelige komponenter og deres fundsted, foranstaltningerne til oprydningen, listen over udskiftede adgangsdata og den sandsynlige indgang. Vi adskiller klart, hvad der er dokumenteret, hvad der er sandsynligt, og hvad der er ukendt.

Vi har brug for fra jer:

- **adgang** til server eller hostingpanel, CMS-backend og database
- **en kontaktperson**, som kan godkende skift af adgangskoder og nedlukninger
- **oplysninger** om bureau, udvikler eller hostingudbyder og om egne tilpasninger af systemet
- **eksisterende backups** med dato, så vi kan vurdere, hvilken tilstand der kan være ren
- **adgang til Google Search Console**, hvis der vises en advarsel

## Hvad vi ikke lover

Vi lover ikke, at enhver bagdør på ethvert system bliver fundet med sikkerhed, hvis logs mangler, eller angrebet ligger langt tilbage. Ved en uklar situation anbefaler vi genopbygning på en frisk server, hvortil kun kontrolleret indhold overføres. Det er mere omstændeligt, men ofte den mere pålidelige vej. Vi forudsiger heller ikke, hvornår Google eller andre tjenester fjerner en advarsel; det afgør disse udbydere.

Hvis det skal opklares med bevismæssig holdbarhed, hvad der præcis er sket, og hvilke data der er berørt, inddrager vi [it-forensik](https://phpsos.de/da/leistungen/it-forensik/) med specialiserede partnere. Ved et akut, stadig igangværende angreb begynder arbejdet med [akuthjælp ved hacket website](https://phpsos.de/da/leistungen/website-gehackt-notfallhilfe/).


## Ofte stillede spørgsmål

**Er et malware-scanner-plugin nok til at rense mit website?**  
En scanner finder kendte mønstre, men ikke enhver bagdør. Webshells er ofte sløret, ligger i billeder, caches eller databasen eller er forankret som cronjob. En scanner er et hjælpemiddel, ikke en fuldstændig oprydning.

**Kan jeg bare indspille en gammel backup?**  
Kun hvis det er sikkert, at backuppen blev lavet før indbruddet, og hvis indgangen lukkes bagefter. Ellers er websitet rent et øjeblik og bliver angrebet igen ad samme vej.

**Hvorfor dukker malwaren op igen og igen efter sletning?**  
Som regel findes der en anden bagdør, et cronjob, en manipuleret administratorkonto, eller sårbarheden er stadig åben. Først når alle persistensmekanismer er fundet og årsagen er fjernet, holder oprydningen.

**Fjerner en PHP-opdatering eksisterende malware?**  
Nej. En rettelse lukker sårbarheden, men fjerner ikke skadelig software, der allerede er blevet indsmuglet. Begge dele er adskilte arbejdstrin.

## Kilder

- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [Google Search Console Hjælp](https://support.google.com/webmasters/)
- [php.net: Sikkerhedsmeddelelser](https://www.php.net/)