Kort sagt: En vedligeholdelsesaftale for et website med sikkerhedsfokus sørger for, at opdateringer, backups og overvågning ikke afhænger af tilfældigheder. Vi betjener jeres websites og PHP-servere varigt, holder status opdateret, tester genoprettelsen og reagerer efter et aftalt forløb, når en ny sårbarhed bliver kendt. I får regelmæssigt en letforståelig rapport.
Hvorfor sikkerhed hører med i vedligeholdelsesaftalen for et website
Mange vedligeholdelsesaftaler dækker CMS-opdateringer og slutter dér. PHP2Shell har vist, at det ikke er nok: Sårbarhederne CVE-2026-109618 og CVE-2026-109619 sidder i selve PHP, ikke i CMS'et. En WordPress- eller Shopware-opdatering lukker dem ikke. Den, der kun plejer CMS'et, har ikke den egentlige fare for øje.
Hertil kommer tidsfaktoren. Mellem forhåndsvarslingen fra php.net den 20.10.2026 og offentliggørelsen af rettelserne den 21.10. lå en dag, og ifølge mediernes rapporter var der allerede den 17.10. et første observeret angrebsforsøg. I sådanne situationer hjælper kun et forløb, der er på plads på forhånd, og en person, der har adgang og ved, hvilke systemer der er berørt. Den, der først i en alvorlig situation leder efter adgangsdata, ringer til tjenesteudbydere og afklarer ansvar, mister netop den tid, som angribere udnytter.
Et yderligere punkt undervurderes ofte: Backups, der aldrig er blevet indspillet, er et løfte uden bevis. Først en genoprettelsestest viser, om en sikkerhedskopi er fuldstændig, og hvor lang tid tilbagevenden til drift faktisk tager.
Hvem en sikkerhedsvedligeholdelsesaftale kan betale sig for
En vedligeholdelsesaftale med sikkerhedsfokus passer især til virksomheder, hvis website eller webshop er forretningskritisk, men som ikke har en egen administration til server og PHP. Typiske er onlineforhandlere, klinikker, advokatkontorer og mellemstore virksomheder med kundeportaler, men også offentlige myndigheder med flere webtilstedeværelser.
Den er lige så fornuftig, hvis ansvaret i dag er fordelt på mange skuldre: Et bureau har bygget websitet, en hostingudbyder stiller serveren, en tidligere medarbejder kendte adgangene. I sådanne konstellationer viser det sig ved situationer som PHP2Shell hurtigt, at ingen er entydigt ansvarlig. Aftalen skaber et fast sted, der ved besked og må handle.
Til et enkelt, lille website uden formularer eller kundedata kan et slankere omfang være nok. Det afklarer vi i opgørelsen.
Hvad sikkerhedsvedligeholdelsesaftalen indeholder
- Opdateringer: operativsystem, webserver, PHP, CMS, udvidelser og afhængigheder, efter fast rytme og desuden ved kritiske sårbarheder
- Genstart og dokumentation: efter PHP-opdateringer genstart af alle workers med kontrol af, at ingen gamle processer kører
- Backups: efter 3-2-1-reglen, med regelmæssig genoprettelsestest. Grundlaget står under Backups efter 3-2-1-reglen.
- Overvågning: filintegritet, logins, processer og logs, som beskrevet under Sikkerhedsovervågning for webservere
- Livscyklus: tidlig planlægning, før en PHP-version når slutningen af sin understøttelse, f.eks. PHP 8.2 den 31.12.2026
- Beredskabsforløb: afstemte skridt til en alvorlig situation, adgange og kontaktpersoner, der straks er kendt ved en hændelse
- Rapport: regelmæssigt resumé med indspillede opdateringer, hændelser og anbefalinger
Hvem er ansvarlig for hvad?
Mange sikkerhedshuller opstår ikke teknisk, men organisatorisk: Alle tror, at en anden tager sig af det. Derfor fastholder vi ansvarsområderne skriftligt. Et typisk eksempel:
| Opgave | Hostingudbyder | Bureau | PHP SOS | I |
|---|---|---|---|---|
| Hardware, netværk, datacenter | ja | |||
| Operativsystem og PHP-opdateringer | afhængigt af aftalen | ja | ||
| CMS og udvidelser | ja | efter aftale | ||
| Indhold og brugerkonti | ja | |||
| Overvågning og beredskabsforløb | ja | godkendelser |
Den faktiske fordeling afhænger af jeres aftaler. Især ved managed servere er det værd at se nøje på, hvad udbyderen virkelig overtager, se Managed server: afklar ansvaret. Bureauer med mange kundesites finder en passende model under Sikkerhedspartner for bureauer.
Hvordan hjælper PHP SOS konkret?
- Opgørelse: Vi registrerer alle websites, servere, versioner, adgange, backups og eksisterende aftaler.
- Førstegangssikring: Åbne opdateringer og kendte svagheder lukkes først, før den løbende betjening begynder.
- Aftale: Vi fastholder omfang, rytme, ansvarsområder og beredskabsforløb skriftligt, også spørgsmålet om, hvornår I bliver spurgt før ændringer.
- Løbende betjening: Opdateringer, backups, overvågning og rapporter efter plan, ved kritiske sårbarheder desuden efter det aftalte beredskabsforløb.
- Årlig gennemgang: Vi kontrollerer sammen, om aftalen stadig passer til jeres systemlandskab.
Hvad vi har brug for, og hvad vi ikke lover
Vi har brug for varige administrative adgange, en kontaktperson med beslutningskompetence, kontakt til hostingudbyder og bureau samt oplysninger om planlagte ændringer af jeres applikationer. Adgange administrerer vi adskilt pr. kunde og dokumenterer, hvem der har adgang. Hvis I planlægger ændringer af jeres systemer, f.eks. en ny webshop, et ekstra website eller et skifte af hostingudbyder, så sig det tidligt til os, så opdateringer, backups og overvågning vokser med.
Vi lover ikke, at jeres systemer aldrig bliver angrebet. En vedligeholdelsesaftale sænker risikoen og sørger for, at der i en alvorlig situation handles hurtigt og ordnet. Priser og reaktionstider nævner vi ikke generelt, men fastlægger dem efter opgørelsen i tilbuddet. Hvordan I yderligere kan forberede jer organisatorisk på en alvorlig situation, beskriver Opret en it-beredskabsplan for webservere.
Ofte stillede spørgsmål
Hvad hører med i en vedligeholdelsesaftale for et website med sikkerhedsfokus?
Mindst opdateringer af server, PHP, CMS og udvidelser, regelmæssige backups med genoprettelsestest, en sikkerhedsovervågning og en klar regulering af nødsituationer. Det er også vigtigt skriftligt at fastholde, hvem der er ansvarlig for hvad.
Erstatter vedligeholdelsesaftalen mit bureau eller min hostingudbyder?
Ikke nødvendigvis. Ofte arbejder vi sammen med bureau og hostingudbyder og overtager sikkerhedsdelen. Afgørende er, at ansvarsområderne er fordelt uden huller, og at intet bliver liggende mellem de involverede.
Hvad sker der, når en kritisk sårbarhed som PHP2Shell bliver kendt?
Så undersøger vi, hvilke af jeres systemer der er berørt, indspiller opdateringer efter det aftalte forløb eller sætter midlertidige foranstaltninger i værk og informerer jer om status. Hvor hurtigt det sker, fastlægger vi sammen i aftalen.
Findes der en fast pris?
Omfanget afhænger af antal og art af jeres systemer. Efter en opgørelse udarbejder vi et tilbud, der nøjagtigt beskriver, hvad der er inkluderet.