# MediaWiki-säkerhet efter PHP2Shell: skydda interna wikis > MediaWiki-säkerhet efter PHP2Shell: kontrollera PHP på Special:Version, skydda LocalSettings.php och images, granska gränssnittsadministratörer. Källa: https://phpsos.de/sv/plattformen/mediawiki/ Aktualitet: 2026-10-25 Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6 **Kort sagt:** MediaWiki-säkerheten efter PHP2Shell börjar med serverns PHP, eftersom sårbarheten finns där och inte i wikin. Interna wikis rörs ofta inte på åratal och körs på gamla PHP-versioner. Kontrollera läget på `Special:Version`, patcha och starta om och kontrollera därefter `LocalSettings.php`, `images` och gränssnittsadministratörerna. ## Varför interna wikis är ett lönsamt mål MediaWiki fungerar i många företag, myndigheter och forskningsinstitutioner som intern handbok. Där står rutiner, kontaktpersoner, nätplaner, serveranvisningar och ibland till och med åtkomstuppgifter som inte hör hemma där. För en angripare är en sådan wiki en karta över företaget. PHP-sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det enligt PHP-teamet möjligt att köra skadlig kod på distans utan inloggning. En wiki som var tänkt att vara ”bara intern” men är nåbar via internet är därmed direkt sårbar. Och eftersom wikis sällan står i fokus för IT körs de ofta på gamla servrar, ofta fortfarande med PHP som Apache-modul, den driftform som enligt PHP-teamet har högst risk. ## MediaWiki-säkerhet: kontrollera PHP-version och patchstatus Sidan **Special:Version** visar versionen av MediaWiki, PHP och databasen samt alla installerade tillägg och skins. Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Många wikiservrar körs på Linux-distributioner med backports; det visade numret förblir då detsamma, trots att systemet är patchat. Körs wikin på PHP 8.1 eller äldre finns inga officiella uppdateringar från PHP-projektet längre, bara minimala backports i källkoden för 7.4, 8.0 och 8.1. Vad som då gäller sammanfattar [PHP 8.1 och äldre](https://phpsos.de/sv/php2shell/php-8-1-und-aelter/). Vilka PHP-versioner er MediaWiki-version stöder kontrollerar ni enligt systemkraven på mediawiki.org. Ett PHP-byte kan förutsätta en MediaWiki-uppgradering. Underhållsskript och job runners körs via kommandoradens PHP. Även den versionen måste vara patchad. Körs jobbkön som en ständig tjänst måste den startas om efter uppdateringen på samma sätt som webbservern eller PHP-FPM. Vid mod_php innebär det en omstart av själva Apache, eftersom PHP ligger i webbserverprocessen. Klargör dessutom vem som äger wikin. Interna wikis har ofta satts upp av en fackavdelning och körs utanför det normala serverunderhållet. Utan tydligt ansvar blir PHP-uppdateringen där liggande längst. ## Kataloger och filer i MediaWiki | Plats | Innehåll | Kontrollpunkt | |---|---|---| | `LocalSettings.php` | Databasåtkomst, `$wgSecretKey`, `$wgUpgradeKey`, rättigheter, uppladdningsinställningar | inskjuten kod, förnya nycklar vid misstanke | | `images/` | uppladdade filer och förhandsbilder | inga PHP-filer, ingen PHP-körning | | `extensions/`, `skins/` | Tillägg och utseenden | okända eller ändrade filer | | `cache/` | Mellanlager | töm efter sanering | | `maintenance/` | Underhållsskript för kommandoraden | använd inte via webben | Uppladdningskatalogen bör på webbserversnivå inte köra några skript. Under Apache går det så oberoende av PHP:s driftform: ```apache Require all denied ``` En ofarlig första kontroll: ```bash find images -type f -name "*.php*" ls -l LocalSettings.php ``` > **Tips:** > Kontrollera sidorna `MediaWiki:Common.js` och `MediaWiki:Common.css` i versionshistoriken. Ändringar där gäller för varje besökare i wikin och är en typisk plats för insmugglad kod. ## Rättigheter, grupper och tillägg I MediaWiki avgör användargrupper säkerheten. Kontrollera under `Special:Användarlista` och `Special:Användarrättigheter` vem som tillhör grupperna administratörer, byråkrater och gränssnittsadministratörer. Gränssnittsadministratörer kan ändra JavaScript för hela wikin; den gruppen bör vara mycket liten. För en intern wiki bör läsning utan inloggning vara avstängd och registrering av nya konton spärrad. Tillåt uppladdningar bara för de filtyper som verkligen behövs. Tillägg har egen PHP-kod; ounderhållna tillägg bromsar dessutom varje uppgradering. För filrättigheter på servern ger guiden [Filrättigheter på webbservern](https://phpsos.de/sv/ratgeber/dateirechte-webserver/) en orientering. ## Vad en MediaWiki-uppdatering klarar och inte klarar En MediaWiki-uppdatering ersätter kärnan och stänger kända fel i den. Den patchar inte PHP, startar inga PHP-processer om, ändrar ingenting i `LocalSettings.php` och tar varken bort filer i `images/`, ändringar i `MediaWiki:Common.js` eller extra gruppmedlemmar. Den bevisar inte heller att ingen läste med före patchen. En snabb överblick ger dessutom loggarna under `Special:Loggar`. Nya användarkonton, ändringar av gruppbehörigheter och redigeringar av gränssnittssidor sedan den 17 oktober 2026 är noterade där med tidpunkt. ## Hur hjälper PHP SOS konkret? - Vi kontrollerar PHP-version, driftform och backport-status på er wikiserver och låter omstarten bekräftas. - Vi säkrar loggar från och med den 20 oktober 2026, databas och filer. - Vi kontrollerar `LocalSettings.php`, uppladdningar, tillägg, gruppbehörigheter och versionshistoriken för gränssnittssidorna. - Inom ramen för [PHP2Shell-akuthjälpen](https://phpsos.de/sv/leistungen/php2shell-soforthilfe/) bedömer vi tillsammans med er om wikin måste förbli offentligt nåbar. ## Vanliga frågor **Berörs MediaWiki av PHP2Shell?** MediaWiki självt har ingen ny sårbarhet, men körs på PHP. Är serverns PHP inte patchat kan en angripare enligt PHP-teamet köra kod utan inloggning. En MediaWiki-uppdatering stänger inte sårbarheten. **Var ser jag PHP-versionen för min wiki?** På sidan Special:Version listar MediaWiki den installerade programvaran, däribland PHP-versionen. Om en backport är installerad framgår inte av det; det bekräftar serverns driftansvariga. **Varför är MediaWiki:Common.js en risk?** Innehållet på den sidan levereras som JavaScript till alla besökare i wikin. Den som kan ändra den kan köra kod i varje användares webbläsare. Gruppen gränssnittsadministratörer bör därför vara mycket liten. **Räcker det att göra wikin nåbar bara internt?** En wiki enbart i företagsnätet eller via VPN minskar risken avsevärt, eftersom angripare från internet inte når den direkt. Ni måste ändå patcha, eftersom en attack också kan komma från det interna nätet. ## Källor - [php.net: säkerhetsmeddelanden](https://www.php.net/) - [MediaWiki](https://www.mediawiki.org/) - [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/) - [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)