Kort sagt: En IT-förteckning för webbservrar är en lista över alla webbplatser, portaler, webbshoppar och servrar med de uppgifter man direkt behöver vid ett säkerhetsmeddelande: var det körs, med vilken PHP-version och vilket driftläge, vilken applikation, vem som ansvarar och vilka data som skulle beröras. Utan listan börjar varje reaktion med letande. Med den tar avstämningen vid ett meddelande som PHP2Shell minuter i stället för dagar.
Den första frågan var: Var körs egentligen PHP hos oss?
När PHP-projektet den 21.10.2026 publicerade patcharna och BSI (tyska förbundskontoret för informationssäkerhet) rekommenderade omedelbara åtgärder var anvisningen entydig: uppdatera PHP, starta om alla processer. För många företag var det första steget ändå inte uppdateringen utan en inventering. Huvudwebbplatsen var känd. Men återförsäljarportalen? Karriärsidan hos en annan leverantör? Landningssidan från en kampanj för tre år sedan? Det interna wikit?
Fackpressen och mättjänster har gjort problemets omfattning synlig. Palo Alto Networks (Unit 42) räknade fler än 22,6 miljoner exponerade, potentiellt sårbara instanser. Bland dem finns säkert många system som deras ägare helt enkelt inte längre tänker på.
Vad som hör hemma i en IT-förteckning för webbservrar
En användbar förteckning är en tabell med en rad per webbplats eller applikation. Följande kolumner har visat sig fungera:
| Kolumn | Exempel | Varför |
|---|---|---|
| Adress | shop.beispiel.de | entydig koppling |
| Syfte och betydelse | webbshop, kritisk för omsättningen | prioritering |
| Hostingleverantör eller plats | managed server hos leverantör X | vem man ringer |
| Server och operativsystem | vServer, Debian | uppdateringsväg, säkerhetskällor |
| Webbserver och PHP:s driftläge | Nginx med PHP-FPM | risk, t.ex. mod_php |
| PHP-version och paketstatus | 8.3, paket med datum | avstämning mot meddelanden |
| Applikation och version | Shopware, tillägg | tillverkarmeddelanden |
| Ansvarig internt / externt | IT-chef / byrå Y | vem som agerar |
| Behandlade data | kundkonton, beställningar | anmälningsplikt, brådska |
| Säkerhetskopior | dagligen, externt, senast testade den … | återställning |
| Senaste patchbevis | datum och underlag | bevis gentemot tredje part |
Driftläget förtjänar särskild uppmärksamhet. Vid PHP2Shell bedömde PHP-teamet risken som högst för Apache med mod_php. Den som vet vilka system som körs så kan ta dem först. Kolumnen för paketstatus är viktig eftersom det visade versionsnumret ofta förblir detsamma efter backporter; anvisningar finns under Kontrollera PHP-version och patchstatus på rätt sätt.
Hitta bortglömda system: så går ni tillväga
De kända systemen är snabbt införda. Det egentliga arbetet gäller de okända. Dessa källor hjälper till att spåra upp dem:
- Domäner och DNS: Gå igenom alla företagets domäner och deras underdomäner. Varje post som pekar på en webbserver är en kandidat.
- Fakturor: Bokföringen känner till varje hostingleverantör, registrar och molnleverantör som får betalt. Det är ofta den mest kompletta listan.
- Byråer och fackavdelningar: Marknadsföring, försäljning och personalavdelning beställer gärna webbplatser direkt. Fråga efter.
- Kända servrar: På varje server visar konfigurationen vilka webbplatser den faktiskt levererar.
- Enheter med webbgränssnitt: NAS, routrar och appliances har ibland egen PHP, se PHP på NAS, routrar och appliances.
För steg 4 hjälper några läsande kommandon på Linux-servrar. De visar konfigurerade webbplatser, PHP-tjänster och FPM-pooler:
# Konfigurerade webbplatser (Apache respektive Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Körande PHP-tjänster och processer
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# FPM-pooler under Debian och Ubuntu
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
Körs flera PHP-versioner sida vid sida på en server hör varje version hemma i listan. Varje version måste uppdateras och startas om för sig.
För också in system som egentligen borde ha stängts av. Just de körs ofta fortfarande, har inte uppdaterats på flera år och glöms bort. Med en post ”stäng av senast …” förblir uppgiften synlig.
Håll förteckningen aktuell
En förteckning är bara så bra som dess senaste uppdatering. Tre regler håller den levande. För det första: En person är ansvarig och informeras vid varje ny webbplats, varje flytt och varje avveckling, även om en byrå utför arbetet. För det andra: En gång i kvartalet stäms listan av mot DNS, fakturor och serverkonfiguration. För det tredje: Förteckningen är en del av krisplanen och finns också utanför den egna IT-avdelningen, till exempel utskriven.
För företag med många spridda system, till exempel återförsäljarportaler, konfiguratorer och leverantörsåtkomster, beskriver IT-säkerhet för medelstora företag och industri typiska fyndplatser. Hur förteckningen integreras i krisplanen står under Ta fram en IT-krisplan för webbservrar.
Vanliga fel i förteckningen över webbservrar
Många förteckningar finns men hjälper inte i ett skarpt läge. Orsakerna liknar varandra:
- Bara servrar, inga webbplatser: Listan nämner maskiner men inte vilka webbplatser som körs på dem eller vem som ansvarar för dem i sak. Vid en lucka vet då ingen vilken avdelning som berörs.
- Version i stället för paketstatus: ”PHP 8.3” säger lite efter PHP2Shell. Först paketstatus och datum visar om rättelsen ingår.
- Externa system saknas: Det som körs hos en byrå eller en plattformstjänst utelämnas eftersom man ”inte ansvarar där”. Ansvaret för data ligger ändå kvar i huset.
- Inga kontaktpersoner: En post utan namn och telefonnummer till ansvarig instans kostar tid i en nödsituation.
- Engångsinsats: Förteckningen upprättas under en krisvecka och öppnas aldrig mer. Efter ett år stämmer en stor del inte längre.
Den som undviker dessa fem punkter har vid nästa meddelande en lista som det faktiskt går att arbeta med.
Hur hjälper PHP SOS konkret?
- Vi kartlägger tillsammans med er alla webbplatser och servrar, även de bortglömda, via DNS, fakturor, leverantörer och serverkonfiguration.
- Vi fastställer för varje system driftläge, PHP-version och verklig paketstatus.
- Vi prioriterar systemen efter nåbarhet, data och driftläge och talar om var man först måste agera.
- Där PHP2Shell fortfarande är öppet stänger vi luckan genom PHP2Shell-akuthjälpen och för in beviset i förteckningen.
Slutsats: En förteckning är den mest anspråkslösa och samtidigt mest verkningsfulla säkerhetsåtgärden. Den som vet vad som körs kan agera direkt vid nästa meddelande i stället för att först leta.
Vanliga frågor
Vilka uppgifter behöver en förteckning över webbservrar minst?
Webbplatsens adress, server eller hostingleverantör, PHP:s driftläge, PHP-version med paketstatus, applikation med version, ansvarig person internt och externt, typ av behandlade data och var säkerhetskopiorna finns. Med de uppgifterna går det snabbt att stämma av varje nytt säkerhetsmeddelande.
Hur hittar jag webbplatser som ingen längre känner till?
Via flera vägar samtidigt: domänadministration och DNS-zoner, fakturor från hostingleverantörer och registrarer, frågor till byråer och fackavdelningar samt konfigurationen på de kända servrarna. Gamla kampanjsidor, testsystem och underdomäner dyker oftast upp på så sätt.
Vem bör sköta förteckningen?
En utsedd person, oftast på IT-avdelningen eller hos IT-chefen. Viktigt är att varje ändring av webbplatser och servrar rapporteras dit, även om en fackavdelning eller en byrå har beställt den.
Räcker en tabell eller behövs det programvara?
För de flesta medelstora företag räcker en välskött tabell. Programvara lönar sig om många system ska registreras automatiskt. Avgörande är att uppgifterna är aktuella, inte verktyget.