Kort sagt: Ett underhållsavtal för webbplatser med säkerhetsfokus ser till att uppdateringar, säkerhetskopior och övervakning inte beror på slumpen. Vi tar hand om era webbplatser och PHP-servrar löpande, håller läget aktuellt, testar återställningen och agerar enligt ett avtalat förlopp när en ny sårbarhet blir känd. Ni får regelbundet en begriplig rapport.
Varför säkerhet hör hemma i underhållsavtalet för webbplatsen
Många underhållsavtal täcker CMS-uppdateringar och slutar där. PHP2Shell har visat att det inte räcker: Sårbarheterna CVE-2026-109618 och CVE-2026-109619 finns i PHP självt, inte i CMS:et. En uppdatering av WordPress eller Shopware stänger dem inte. Den som bara underhåller CMS:et har inte den egentliga faran i sikte.
Dessutom kommer faktorn tid. Mellan förhandsmeddelandet från php.net den 20 oktober 2026 och publiceringen av patcharna den 21 oktober låg en dag, och enligt mediarapporter förekom redan den 17 oktober ett första observerat angreppsförsök. I sådana lägen hjälper bara ett förlopp som finns på förhand och någon som har åtkomst och vet vilka system som berörs. Den som först i skarpt läge letar inloggningsuppgifter, ringer leverantörer och klarlägger ansvar förlorar precis den tid som angripare utnyttjar.
En annan punkt underskattas ofta: Säkerhetskopior som aldrig har återställts är ett löfte utan belägg. Först ett återställningstest visar om en säkerhetskopia är fullständig och hur lång tid återgången till drift faktiskt tar.
För vem ett säkerhetsunderhållsavtal lönar sig
Ett underhållsavtal med säkerhetsfokus passar framför allt företag vars webbplats eller butik är affärskritisk men som saknar egen administration för servrar och PHP. Typiska är nätbutiker, mottagningar, advokatbyråer och medelstora företag med kundportaler, men också offentliga organ med flera webbnärvaron.
Det är lika meningsfullt när ansvaret i dag är fördelat på många axlar: En byrå har byggt webbplatsen, ett webbhotell tillhandahåller servern, en tidigare medarbetare kände till inloggningarna. I sådana konstellationer visar det sig snabbt vid lägen som PHP2Shell att ingen entydigt ansvarar. Avtalet skapar en fast instans som är insatt och får agera.
För en enskild, liten webbplats utan formulär eller kunddata kan en slankare omfattning räcka. Det klarlägger vi vid inventeringen.
Vad säkerhetsunderhållsavtalet innehåller
- Uppdateringar: operativsystem, webbserver, PHP, CMS, tillägg och beroenden, enligt fast rytm och dessutom vid kritiska sårbarheter
- Omstart och intyg: efter PHP-uppdateringar omstart av alla workers med kontroll av att inga gamla processer körs
- Säkerhetskopior: enligt 3-2-1-regeln, med regelbundet återställningstest. Grunderna finns under Säkerhetskopior enligt 3-2-1-regeln.
- Övervakning: filintegritet, inloggningar, processer och loggar, som beskrivs under Säkerhetsövervakning för webbservrar
- Livscykel: tidig planering innan en PHP-version når slutet på sin support, till exempel PHP 8.2 den 31 december 2026
- Nödläge: avstämda steg för skarpt läge, åtkomster och kontaktpersoner som är kända direkt vid en incident
- Rapport: regelbunden sammanfattning med installerade uppdateringar, händelser och rekommendationer
Vem ansvarar för vad?
Många säkerhetsluckor uppstår inte tekniskt utan organisatoriskt: Alla tror att någon annan sköter det. Därför fastställer vi ansvaret skriftligt. Ett typiskt exempel:
| Uppgift | Webbhotell | Byrå | PHP SOS | Ni |
|---|---|---|---|---|
| Hårdvara, nät, datacenter | ja | |||
| Operativsystem och PHP-uppdateringar | beroende på avtal | ja | ||
| CMS och tillägg | ja | efter överenskommelse | ||
| Innehåll och användarkonton | ja | |||
| Övervakning och nödläge | ja | Godkännanden |
Den faktiska fördelningen beror på era avtal. Särskilt vid managed servers lönar det sig att noga se vad leverantören verkligen tar över, se Managed server: klargöra ansvaret. Byråer med många kundwebbplatser hittar en lämplig modell under Säkerhetspartner för byråer.
Hur hjälper PHP SOS konkret?
- Inventering: Vi kartlägger alla webbplatser, servrar, versioner, åtkomster, säkerhetskopior och befintliga avtal.
- Första skydd: Öppna uppdateringar och kända svagheter stängs först, innan den löpande bevakningen börjar.
- Överenskommelse: Vi fastställer skriftligt omfattning, rytm, ansvar och nödläget, även frågan när ni tillfrågas före ändringar.
- Löpande bevakning: Uppdateringar, säkerhetskopior, övervakning och rapporter enligt plan, vid kritiska sårbarheter dessutom enligt det avtalade nödläget.
- Årlig översyn: Vi kontrollerar tillsammans om avtalet fortfarande passar er systemmiljö.
Vad vi behöver och vad vi inte lovar
Vi behöver varaktig administrativ åtkomst, en kontaktperson med beslutsbefogenhet, kontakt med webbhotell och byrå samt besked om planerade ändringar i era applikationer. Åtkomster hanterar vi separat per kund och dokumenterar vem som har tillgång. Om ni planerar ändringar i era system, till exempel en ny butik, ytterligare en webbplats eller ett byte av webbhotell, säg till oss tidigt så att uppdateringar, säkerhetskopior och övervakning kan växa med.
Vi lovar inte att era system aldrig angrips. Ett underhållsavtal sänker risken och ser till att man i skarpt läge agerar snabbt och ordnat. Priser och reaktionstider anger vi inte generellt utan fastställer dem efter inventeringen i offerten. Hur ni dessutom förbereder skarpt läge organisatoriskt beskrivs i Ta fram en IT-nödlägesplan för webbservrar.
Vanliga frågor
Vad ingår i ett underhållsavtal för webbplatser med säkerhetsfokus?
Åtminstone uppdateringar av server, PHP, CMS och tillägg, regelbundna säkerhetskopior med återställningstest, en säkerhetsövervakning och en tydlig reglering för nödlägen. Viktigt är också att skriftligen fastställa vem som ansvarar för vad.
Ersätter underhållsavtalet min byrå eller mitt webbhotell?
Inte nödvändigtvis. Ofta arbetar vi tillsammans med byrå och webbhotell och tar över säkerhetsdelen. Avgörande är att ansvaret är fördelat utan luckor och att ingenting blir liggande mellan de inblandade.
Vad händer när en kritisk sårbarhet som PHP2Shell blir känd?
Då kontrollerar vi vilka av era system som berörs, installerar uppdateringar enligt det avtalade förloppet eller sätter in övergångsåtgärder och informerar er om läget. Hur snabbt det sker fastställer vi tillsammans i avtalet.
Finns det ett fast pris?
Omfattningen beror på antalet och typen av era system. Efter en inventering tar vi fram en offert som exakt beskriver vad som ingår.