# PHP-nødsituation? Ring eller skriv på WhatsApp – vi hjælper

> PHP-server nede, overbelastet eller påfaldende? Tal direkte med en ekspert, og få afklaret, om det er et nedbrud eller et angreb. Ring eller skriv på WhatsApp.

Kilde: https://phpsos.de/da/soforthilfe/php-notfall-hilfe/  
Status: 25.10.2026  
Udbyder: PHP SOS, PHP-nødhjælp og serversikkerhed. Akut hjælp på WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20har%20brug%20for%20hj%C3%A6lp%20med%20vores%20PHP-server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kort sagt:** Giver jeres PHP-server problemer, og vil I tale direkte med en ekspert, så ring eller skriv på WhatsApp. Er I berørt? Ring til os. Vi hjælper. Vi afklarer på afstand, om et nedbrud, en fejlkonfiguration eller et angreb ligger bag, og overtager fra den første besked, indtil hændelsen er afsluttet og dokumenteret.

> **Handl med det samme:**
> **Slet intet og opsæt intet på ny nu.** Også en genstart eller et rollback kan sløre spor. Beskriv først for os, hvad I ser. [Meld en nødsituation](https://phpsos.de/da/notfall/), derefter fastlægger vi det næste skridt.

## Er I berørt? Disse forstyrrelser er en sag for os

Ikke enhver forstyrrelse er et angreb, men i disse dage kan det betale sig at kigge efter. Kontakt os, hvis der opstår følgende ved jeres PHP-system:

- PHP-processer eller webserveren går ned, genstarter igen og igen eller bliver afsluttet af systemet (exit-status 137).
- Belastningen stiger uden synlig grund, eller hukommelsen løber fuld.
- Sider leverer tomme svar, 500-fejl eller fejlmeddelelser, som der ikke var før.
- Under webserveren eller PHP-FPM kører der processer, der starter en shell.
- I upload- eller cachemappen ligger der PHP-filer, som I ikke kender.
- Efter en PHP-opdatering fungerer en applikation ikke mere.
- Jeres hostingudbyder har spærret adgangen eller slukket siden.

Forskellen mellem nedbrud og angreb viser sig som regel først i logs. Første fingerpeg om, hvad det kommer an på, beskriver indlægget [Webserveren starter en shell](https://phpsos.de/da/blog/webserver-startet-shell/).

## Hvad I gør med det samme

1. **Observér, før I griber ind.** Notér klokkeslæt, fejlmeddelelser og hvad der sidst blev ændret (opdatering, plugin, konfiguration).
2. **Sikr logs.** Kopiér webserver-, PHP- og systemlogs væk, før de roteres. Fagpressen anbefaler at gemme logs fra den 20.10.2026.
3. **Genstart ikke i blinde.** En genstart afhjælper nogle nedbrud, men ødelægger flygtige spor. Genstart, hvis driften kræver det, og notér, hvad I har gjort.
4. **Vej tilgængeligheden af.** Hvis I formoder et angreb, er det ofte rigtigt at afskærme eller slukke. BSI (det tyske forbundsagentur for informationssikkerhed) anbefaler det, hvis opdateringen ikke straks er mulig.
5. **Fastslå PHP-versionen.** `php -v` viser versionen, men ikke altid den, som webserverens runtime bruger.
6. **Ring eller skriv.** Jo mere præcist I kan beskrive situationen, desto hurtigere kommer vi til kernen.

## Hvordan hjælper PHP SOS konkret?

Vi arbejder på afstand, uden transport, i hele Tyskland og Europa.

1. **Danne overblik over situationen:** I den første samtale lytter vi og spørger målrettet: systemer, PHP-driftsform, tidspunkt, seneste ændringer. Bagefter ved I, om vi ser et nedbrud eller en mistanke om angreb.
2. **Sikre og lukke:** Vi sikrer tilstanden, afhjælper årsagen og lukker om nødvendigt sårbarheden med opdatering, genstart og midlertidige foranstaltninger.
3. **Kontrollere og rense:** Viser der sig et indbrud, fjerner vi skadelig kode og kontrollerer adgange og hemmeligheder. Ellers dokumenterer vi årsagen og lader driften køre rent.
4. **Hærde og rapportere:** I modtager en kort rapport og anbefalinger, så forstyrrelsen ikke gentager sig.

Gemmer der sig mere bag, går vi over til [nødhjælp ved hacket website](https://phpsos.de/da/leistungen/website-gehackt-notfallhilfe/) eller til struktureret [incident response](https://phpsos.de/da/leistungen/incident-response/).

## Hukommelse, nedbrud og den nye grænse

Siden sikkerhedsudgivelserne af 21.10.2026 (8.5.12, 8.4.27, 8.3.36, 8.2.35) findes direktivet `memory_hard_limit_percent`. Siden er `memory_limit` en blød grænse. Uden egen indstilling gælder som hård grænse det dobbelte af `memory_limit` op til 1G, derover `memory_limit` plus 1G. Overskrides den, slutter processen straks med exit-status 137. En drift, der før opdateringen kørte tæt på grænsen, kan derfor pludselig vise nedbrud. Det er ikke et angreb, men en følge af rettelsen, og løsningen er at tilpasse applikationen eller grænsen korrekt, ikke at rulle opdateringen tilbage.

Omvendt gælder: Den, der ser nedbrudte processer og endnu ikke har patchet, bør ikke afskrive det som tilfældighed, for sårbarheden CVE-2026-109618 hænger sammen med en out-of-memory-tilstand. Om det spiller en rolle hos jer, viser logs. Baggrund om hukommelsesstyring finder I under [Out-of-memory i PHP](https://phpsos.de/da/php/out-of-memory/), mulige tegn på indbrud under [Mistænkelige processer under Linux](https://phpsos.de/da/blog/verdaechtige-prozesse-linux/).

## Når hostingudbyderen griber ind

Nogle udbydere spærrer konti eller tager sider offline forebyggende. Det betyder ikke automatisk, at I er blevet hacket, men kan være en følge af påfaldende forhold. Spørg efter årsagen og tidspunktet, bed om logs og notér, hvad udbyderen kræver. Vi afstemmer med jeres hostingudbyder, hvis I ønsker det. Det er fornuftigt på forhånd at afklare, hvem hos udbyderen der må træffe beslutninger, og om der dér findes protokoller fra serveren, som I ikke selv kan se. Sådanne data, for eksempel adgange på netværksniveau, kan senere være afgørende, når tidspunktet for et muligt indbrud skal afgrænses.

## Hvad I bør sende til os

- kort beskrivelse: Hvad er faldet ud eller påfaldende, siden hvornår?
- systemets type (egen server, hostingpakke, container) og hostingudbyder
- output fra `php -v`, driftsform og webserver, så vidt det er kendt
- fejlmeddelelser eller uddrag fra logs
- tidspunktet for den seneste PHP-opdatering og de seneste ændringer
- kontaktperson med beslutningskompetence til genstart

## Hvorfor PHP SOS

Vi arbejder Made in Germany og har sammen med vores partnernetværk af cyberprofessionelle i over 25 år specialiseret os i it-sikkerhed. I taler med en fast kontaktperson i stedet for et ticketsystem. Vi arbejder på afstand, dokumenterer, hvad vi ser og gør, og siger åbent, hvad der er dokumenteret, og hvad der ikke er. Til akutte tilfælde omkring sårbarheden findes desuden [PHP2Shell-akuthjælpen](https://phpsos.de/da/leistungen/php2shell-soforthilfe/).

## Er I berørt? Ring til os. Vi hjælper.

Giver jeres PHP-server problemer, så vent ikke på næste nedbrud. Ring til os eller skriv på WhatsApp. Vi overtager fra den første besked. [Meld en nødsituation nu](https://phpsos.de/da/notfall/).


## Ofte stillede spørgsmål

**Min PHP-server er pludselig langsom eller går ned: Er det et angreb?**  
Ikke nødvendigvis. Nedbrud har ofte banale årsager som for lidt hukommelse, en fejlbehæftet opdatering eller overbelastning. Først et blik i logs og processer viser, om det er et angreb; varselstegn er for eksempel shell-processer under webserveren eller ukendte nye PHP-filer.

**Hvad betyder exit-status 137 ved PHP-processer?**  
Status 137 står for en proces, der er afsluttet med det samme. Ifølge PHP-håndbogen slutter en proces med 137, når den overskrider den hårde hukommelsesgrænse for det nye direktiv memory_hard_limit_percent; den kan dog også være afsluttet af systemet på grund af hukommelsesmangel. Årsagen afklares af et blik i logs.

**Kan jeg tale i telefon med en ekspert, før jeg ændrer noget?**  
Ja, det er netop det, nødhjælpen er til for. Ring til os eller skriv på WhatsApp og beskriv, hvad der er påfaldende. Vi fortæller jer, hvad I bør lade være med, og hvad I uden fare kan gøre.

**Skal jeg bare genstarte PHP-tjenesten?**  
En genstart kan afhjælpe et nedbrud, men sletter spor i arbejdshukommelsen. Hvis et indbrud er muligt, så sikr logs først og lad jer rådgive. Efter en PHP-opdatering er en genstart derimod et must.

**Arbejder I også, hvis min server ligger hos en hostingudbyder?**  
Ja, vi arbejder på afstand med den adgang, I har, og afstemmer om nødvendigt med jeres hostingudbyder. Hvilke kontroller der er mulige, afhænger af jeres rettigheder.

## Kilder

- [php.net: sikkerhedsmeddelelser](https://www.php.net/)
- [PHP-håndbogen: kernekonfiguration (ini.core)](https://www.php.net/manual/en/ini.core.php)
- [BSI: det tyske forbundsagentur for informationssikkerhed](https://www.bsi.bund.de/)