# 22,6 miljoner exponerade instanser: sätt siffrorna i rätt perspektiv

> 22,6 mn instanser, 2,24 mn värdar: hur många servrar PHP2Shell berör, varför siffrorna avviker från varandra och vad de betyder för ert företag.

Källa: https://phpsos.de/sv/blog/exponierte-instanzen-einordnen/  
Aktualitet: 2026-10-25  
Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6

**Kort sagt:** Hur många servrar som berörs av PHP2Shell går bara att uppskatta. Unit 42 räknade enligt TechTarget mer än 22,6 miljoner exponerade instanser, CybelAngel anger cirka 2,24 miljoner PHP-värdar, BleepingComputer rapporterar med hänvisning till VirusTotal över 5,1 miljoner. Siffrorna mäter olika saker och motsäger därför inte varandra. För ert företag räknas en annan siffra: hur många egna PHP-system som är nåbara och hur många av dem som styrkt är patchade.

## Utgångspunkten: en siffra gör rubriker

”22 miljoner servrar i fara” stod den 21 oktober 2026 i många rubriker. Siffran kommer från Unit 42, Palo Alto Networks forskningsavdelning, och rapporterades bland annat av TechTarget. Kort därefter cirkulerade andra siffror, delvis med en faktor tio lägre.

För läsare uppstår intrycket att ingen vet något. I själva verket räknar leverantörerna helt enkelt olika saker med olika metoder. Den som förstår det kan använda siffrorna i stället för att låta sig förvirras av dem.

## Hur många servrar berörs av PHP2Shell? Siffrorna i översikt

| Källa | Siffra | Vad som räknades |
|---|---|---|
| Unit 42 (Palo Alto Networks), enligt TechTarget | mer än 22,6 mn | exponerade, potentiellt sårbara instanser; metoden förklaras inte i rapporten |
| VirusTotal, enligt BleepingComputer | över 5,1 mn | PHP-värdar nåbara från internet |
| CybelAngel, baserat på Shodan-data | cirka 2,24 mn | värdar som uppger PHP i sina identifierare |
| CybelAngel | 59 % av cirka 1,5 mn | andel värdar med synlig version på grenar utan officiell uppdatering |
| CybelAngel | cirka 740 000 | värdar som uppger PHP men döljer sin version |

Alla siffror avser läget kring den 20 och 21 oktober. De är ögonblicksbilder och ändras för varje installerad uppdatering.

## Varför räkningarna ligger så långt ifrån varandra

Tre effekter förklarar största delen av skillnaderna.

**Instans, värd, webbplats.** En värd är oftast en IP-adress eller en server. En instans kan vara en enskild tjänst eller en enskild webbplats. På en server med delat webbhotell körs ofta hundratals webbplatser. CybelAngel påpekar själv: det som räknas är värdar, inte organisationer eller webbplatser, och det faktiska antalet nåbara applikationer torde vara högre.

**Dolda versioner.** Många servrar avslöjar inte sin PHP-version, till exempel eftersom `expose_php` är avstängt. De saknas i versionsbaserade statistiker. Varför det är rimligt att dölja, men inte ersätter skydd, förklarar inlägget om [versionsuppgifter och expose_php](https://phpsos.de/sv/blog/expose-php-versionsangaben/).

**Backports.** Distributioner och webbhotell installerar delvis rättningar utan att ändra versionsnumret. En server som utåt visar ett gammalt nummer kan alltså vara patchad. Räkningar utifrån den visade versionen överskattar därför antalet opatchade system. Hur ni kontrollerar det verkliga läget hos er står under [Kontrollera PHP-version och patchnivå](https://phpsos.de/sv/php2shell/php-version-pruefen/).

### Hur sådana räkningar uppstår

De flesta siffrorna bygger på söktjänster som löpande frågar av internet och lagrar vad servrar uppger om sig själva. En webbserver anger i sina svar ofta programvara och version, till exempel i rubrikraden `X-Powered-By`. CybelAngel stödjer sig enligt egen beskrivning på sådana identifierare ur Shodan-data. Inget angrips därvid, det läses bara det som ändå är offentligt synligt.

Därav följer en enkel läsregel för varje ny siffra i medierna. Fråga: Vad räknades, värdar, instanser eller webbplatser? När mättes det, före eller efter den 21 oktober? Och hur bestämdes versionen, via det visade numret eller via ett riktigt test? Den som inte kan besvara de tre frågorna bör behandla siffran som en grov storleksordning, inte som ett mätvärde.

> **Viktigt:**
> ”Exponerad” betyder nåbar och utifrån yttre kännetecken möjligen sårbar. Det betyder inte angripen och inte komprometterad. BSI (den tyska federala myndigheten för informationssäkerhet) kände inledningsvis inte till några bekräftade lyckade angrepp i bred skala.

## Vad siffrorna ändå tillförlitligt visar

Även om nivån varierar bär räkningarna tre hållbara budskap:

1. **Angreppsytan är enorm.** Även den minsta siffran betyder miljontals nåbara mål. Angripare behöver inte söka, de kan kontrollera automatiskt.
2. **Gamla versioner är vanliga.** Enligt CybelAngel körde 59 procent av värdarna med synlig version på grenar för vilka PHP-projektet inte ger ut någon officiell uppdatering. För de systemen hjälper ingen snabb patch, bara en backport, en tredjepartsleverantör eller en migrering. Riskerna beskriver guiden [PHP End of Life](https://phpsos.de/sv/ratgeber/php-end-of-life-risiken/).
3. **Problemet består längre.** En stor del av de nåbara systemen uppdateras inte på några dagar. Skanningar och angreppsförsök kommer därför sannolikt att pågå länge.

## Ta fram er egen siffra

Den världsomspännande siffran är en rubrik. Er egen är en uppgift. Så kommer ni fram till den:

1. **Samla domäner och underdomäner:** ur DNS-zoner, certifikat, avtal med byråer och webbhotell.
2. **Koppla nåbara tjänster:** Vilken server står bakom vilken adress, vem driver den?
3. **Ta fram PHP-läget per system:** version, driftläge, paketkälla, bekräftelse av backport.
4. **Värdera resultatet:** patchad och styrkt, patchad utan bevis, opatchad, okänd.
5. **Stäng luckorna:** Klargör det okända först, agera på det opatchade först.

I slutet står en kort lista i stället för en stor siffra. Hur ni håller inventeringen uppdaterad över tid beskriver inlägget [Inventering av alla webbplatser och servrar](https://phpsos.de/sv/blog/inventar-websites-server/).

## Hur hjälper PHP SOS konkret?

- **Utsida:** Vi tar reda på vilka av era system som är nåbara från internet och vilka av dem som använder PHP.
- **Insida:** Vi kontrollerar patchnivå och omstart på servrarna, inte bara den visade versionen.
- **Värdering:** Ni får en lista med status per system och en tydlig ordningsföljd.
- **Verifiering:** På begäran testar vi efter patchen utifrån om läget har förbättrats som väntat.

Hur en sådan kontroll går till beskriver [Säkerhetsgranskning och penetrationstest](https://phpsos.de/sv/leistungen/sicherheitsaudit-penetrationstest/).

## Slutsats

22,6 miljoner, 5,1 miljoner, 2,24 miljoner: siffrorna verkar motsägelsefulla men mäter bara olika saker. Tillsammans visar de att PHP2Shell berör en mycket stor angreppsyta och att många gamla versioner står på nätet. Siffran som avgör er risk levererar ingen studie. Den uppstår bara genom blicken på de egna systemen.


## Vanliga frågor

**Hur många servrar berörs av PHP2Shell?**  
Det vet ingen exakt. Unit 42 vid Palo Alto Networks räknade enligt TechTarget mer än 22,6 miljoner exponerade, potentiellt sårbara instanser. CybelAngel anger cirka 2,24 miljoner värdar nåbara från internet som uppger PHP. Siffrorna mäter olika saker och är inte direkt jämförbara.

**Varför avviker siffrorna så starkt från varandra?**  
För att olika saker räknas: instanser, värdar, IP-adresser eller tjänster. På en värd med delat webbhotell kan hundratals webbplatser ligga. Dessutom visar många servrar inte sin PHP-version, andra visar ett gammalt nummer fast en backport har installerats.

**Betyder exponerad att en server har angripits?**  
Nej. Exponerad betyder bara att en PHP-tjänst är nåbar från internet och utifrån yttre kännetecken kan vara sårbar. Om faktiska angrepp säger de här räkningarna ingenting.

**Vilken siffra är viktig för mitt företag?**  
Antalet av era egna publikt nåbara PHP-system och hur många av dem som styrkt är patchade. De världsomspännande siffrorna visar omfattningen men ersätter inte den egna inventeringen.

## Källor

- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [CybelAngel: Critical PHP RCE vulnerabilities CVE-2026-109618 and CVE-2026-109619](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)
- [BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws](https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws)
- [PHP: versioner som stöds](https://www.php.net/supported-versions.php)