# Contao-säkerhet efter PHP2Shell: skydda webbplatser på rätt sätt > Contao-säkerhet efter PHP2Shell: kontrollera PHP för webben och Contao Manager, granska .env och mallar, skydda backend och Manager-åtkomst. Källa: https://phpsos.de/sv/plattformen/contao/ Aktualitet: 2026-10-25 Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6 **Kort sagt:** Contao-säkerheten hänger vid PHP2Shell på serverns PHP, inte på Contao. Se till att både webb-PHP och kommandoradens PHP för Contao Manager är patchade. Därefter kontrollerar ni `.env`, egna mallar, mappen `files` och åtkomsterna till backend och Manager. ## Contao och PHP2Shell: vad det handlar om Contao är ett CMS som är utbrett i den tyskspråkiga regionen och som sedan version 4 bygger på ramverket Symfony. PHP-sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det enligt PHP-teamet möjligt att köra skadlig kod på distans utan inloggning. De berör PHP självt, alltså även varje Contao-installation på en opatchad server. Många Contao-webbplatser tillhör medelstora företag, förbund och kommuner och sköts av byråer. Klargör därför först vem som ansvarar för PHP: webbhotellet, byrån eller er egen IT. Ett vanligt misstag gäller underhållsläget. Contao kan spärra en webbplats för besökare, men den spärren levereras själv av PHP. Varje förfrågan når alltså fortfarande PHP-tolken. Mot PHP2Shell skyddar underhållsläget därför inte. När BSI (den tyska federala myndigheten för informationssäkerhet) rekommenderar att webbservrar tas offline till uppdateringen avses en spärr på server- eller hostingnivå, inte en inställning i CMS:et. ## Contao-säkerhet börjar med två PHP-versioner Contao använder PHP på två vägar. Webbservern hanterar sidanrop oftast via PHP-FPM. Contao Manager och Contao-konsolen arbetar dessutom med ett kommandoradens PHP, till exempel för installationer, uppdateringar och cronjobb. På hostingpaket med flera PHP-versioner kan det vara två olika program. Contao Manager visar i sin serverkonfiguration vilken PHP-programfil den använder. Webbversionen ser ni i hostingpanelen. Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35; backports kan bära äldre nummer. Båda vägarna måste vara patchade och alla processer omstartade. Vilka PHP-versioner er Contao-version stöder kontrollerar ni enligt systemkraven på contao.org. Mer om kontrollen finns under [Kontrollera PHP-version och patchstatus på rätt sätt](https://phpsos.de/sv/php2shell/php-version-pruefen/). ## Kataloger och filer i Contao | Plats | Innehåll | Kontrollpunkt | |---|---|---| | `.env`, `.env.local` | Databasåtkomst, `APP_SECRET` | förnya vid misstanke | | `config/config.yaml` | Installationens konfiguration | oväntade ändringar | | `public/` (äldre versioner `web/`) | Dokumentrot med `index.php`, Contao Manager-fil, assets | ytterligare PHP-filer | | `files/` | Redaktörernas filhantering | inga PHP-filer | | `templates/` | egna mallar, klassiskt som `.html5` med PHP | okända eller ändrade mallar | | `system/config/localconfig.php` | äldre inställningar | inskjuten kod | | `var/` | Cache och loggar | säkra loggar, bygg om cachen | Just `templates/` underskattas: klassiska Contao-mallar med ändelsen `.html5` är PHP-filer. Ett inskjutet kommando i en egen mall körs vid varje sidanrop och överlever Contao-uppdateringar. Ofarliga första kontroller: ```bash # PHP-filer i filhanteringen find files -type f -name "*.php" # Mallar som ändrats sedan den 17 oktober 2026 find templates -type f -newermt "2026-10-17" # Kontrollera tillgängliga Contao-kommandon och beroenden vendor/bin/contao-console list contao composer audit ``` > **Viktigt:** > Contao Manager kan installera paket och därmed föra godtycklig kod till servern. Kontrollera efter en misstanke dess användarkonton, tilldela nya lösenord och ta bort åtkomster som tillhör tidigare tjänsteleverantörer. ## Backend, Manager och tillägg Backend ligger under `/contao`. Kontrollera användare med administratörsrättigheter och användargrupper med vittgående rättigheter, till exempel till filhantering, mallar eller användarhantering. Contao har tvåfaktorsinloggning; använd den för alla konton med förhöjda rättigheter. Tillägg installeras via Composer eller Contao Manager. Varje sådant har PHP-kod, och äldre tillägg utan underhåll bromsar PHP-uppgraderingar. På servrar med flera webbplatser bör varje installation köras separat, så att en incident inte sprider sig till grannsidor; mer om detta under [open_basedir och isolering per webbplats](https://phpsos.de/sv/ratgeber/open-basedir/). ## Vad en Contao-uppdatering klarar och inte klarar En Contao-uppdatering via Manager eller Composer stänger kända fel i Contao och tillägg. Den patchar inte PHP och startar varken om PHP-FPM eller bakgrundsprocesser. Egna mallar, filer i `files/` och främmande användarkonton förblir oförändrade. Efter ett byte av PHP-huvudversion bör cachen byggas om och webbplatsen kontrolleras i en testmiljö. För webbplatser med många redaktörer lönar det sig efter patchen att titta på rättigheterna i backend. Den som får redigera mallar kan lägga PHP-kod i klassiska `.html5`-mallar. Den behörigheten hör bara hemma hos få, tekniskt kunniga personer. Detsamma gäller åtkomst till filhanteringen med uppladdningsrättigheter till offentligt nåbara mappar. ## Hur hjälper PHP SOS konkret? - Vi tar reda på webb- och CLI-PHP för er Contao-installation och låter patch och omstart bekräftas. - Vi säkrar loggar, filer och databas innan vi ändrar något. - Vi kontrollerar mallar, `files/`, dokumentroten samt backend- och Manager-konton. - PHP-bytet med verifiering tar på begäran vår [PHP-patchtjänst](https://phpsos.de/sv/leistungen/php-patch-service/) hand om, i samråd med er byrå. ## Vanliga frågor **Berörs Contao av PHP2Shell?** Contao självt har ingen ny sårbarhet. Körs webbplatsen dock på ett opatchat PHP är den sårbar som varje PHP-applikation. En Contao-uppdatering stänger inte PHP-sårbarheten. **Varför är Contao Manager säkerhetsrelevant?** Contao Manager kan installera, uppdatera och ta bort paket. Den som har åtkomst till den kan föra in godtycklig kod. Åtkomsten kräver därför ett starkt lösenord och få behöriga. **Innehåller Contao-mallar PHP-kod?** De klassiska mallarna med ändelsen .html5 är PHP-mallar. Egna mallar i mappen templates kan därför innehålla PHP. Okända eller nyligen ändrade mallar bör ni kunna förklara. ## Källor - [php.net: säkerhetsmeddelanden](https://www.php.net/) - [Contao](https://contao.org/) - [PHP-versioner som stöds](https://www.php.net/supported-versions.php) - [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)