Kort sagt: Hvad skal man som hostingkunde gøre ved PHP-sårbarheden PHP2Shell? PHP-opdateringen skal I som regel ikke selv indspille, det tager hostingudbyderen sig af ved shared hosting. Jeres opgaver er andre: indhente en skriftlig bekræftelse af patchstatus, vælge en understøttet PHP-version i kundemenuen og undersøge jeres website for påfaldende forhold. De 15 hyppigste spørgsmål dertil besvarer dette indlæg kort og i rækkefølge.
PHP-sårbarhed som hostingkunde: Er jeg berørt, hvad skal jeg gøre?
Siden den 21. oktober 2026 får vi mange spørgsmål fra virksomheder, hvis website ligger hos en hostingudbyder. De fleste drejer sig om de samme punkter. Den, der vil læse mere udførligt om ansvarsfordelingen, finder den under Shared hosting: Hvad hostingudbyderen gør, og hvad I skal gøre.
1. Er mit website overhovedet berørt?
Kører jeres website med WordPress, Shopware, TYPO3, Joomla, Contao eller et andet PHP-system, er serveren under det muligvis berørt. Rene HTML-sider uden PHP er det ikke. I tvivlstilfælde hjælper et blik i kundemenuen: Findes der dér en indstilling for PHP-versionen, bruger I PHP.
2. Hvad er forskellen på shared hosting og egen server?
Ved shared hosting deler I en server, som hostingudbyderen driver, med andre kunder; hostingudbyderen vedligeholder PHP. Ved en egen root-server eller vServer er I selv ansvarlige. Ved en managed server regulerer kontrakten, hvem der indspiller opdateringer.
3. Min hostingudbyder har sendt en rundmail. Skal jeg stadig gøre noget?
Læs nøje, hvad der står i den. En rundmail bekræfter ofte blot, at hostingudbyderen „arbejder på sagen“. I har brug for en udtalelse om jeres pakke: PHP-gren, patchstatus, tidspunkt og genstart.
Ansvar og opdatering
4. Indspiller hostingudbyderen opdateringen automatisk?
Som regel ja, for de PHP-versioner, den tilbyder på sine servere. Om det allerede er sket, og om også ældre versioner er dækket, er forskelligt fra hostingudbyder til hostingudbyder. Spørg.
5. Mit kundemenu viser et gammelt versionsnummer. Er jeg ubeskyttet?
Ikke nødvendigvis. Mange hostingudbydere bygger rettelser ind som backport, nummeret forbliver så det samme. Plesk kan f.eks. fortsat vise 8.2.34, selv om fejlen er udbedret. Afgørende er hostingudbyderens bekræftelse.
6. Jeg bruger stadig PHP 7.4 eller 8.1. Hvad nu?
Disse grene får ikke længere officielle opdateringer fra PHP-projektet. Nogle hostingudbydere leverer egne rettelser, andre ikke. Afklar det skriftligt, og planlæg skiftet til en understøttet gren. Kontrollér først i jeres CMS' systemkrav, hvilke PHP-versioner det understøtter.
7. Kan jeg selv skifte PHP-version?
Hos de fleste hostingudbydere ja, i kundemenuen. Hvordan det gøres, og hvad I bør være opmærksomme på først, beskriver indlægget Skift PHP-version i hostingens kundeområde. Tag en sikkerhedskopi først.
8. Hjælper det at opdatere WordPress eller plugins?
Ikke mod PHP2Shell, for sårbarheden sidder i PHP. CMS-opdateringer er alligevel fornuftige, fordi de lukker andre sårbarheder.
Kontrollere og dokumentere
9. Hvordan får jeg en dokumentation fra hostingudbyderen?
Med en skriftlig forespørgsel, der kræver konkrete oplysninger: pakkestatus pr. PHP-gren, installationsdato, genstart af alle PHP-processer. En skabelon til kopiering giver vejledningen Anmod om bekræftelse af PHP-opdatering fra hostingudbyderen.
10. Kan jeg indstille midlertidige foranstaltninger via .user.ini?
Nej. php.net fraråder udtrykkeligt at indstille de midlertidige indstillinger via ini_set() eller .user.ini. De hører hjemme i serverkonfigurationen, og den administrerer ved shared hosting hostingudbyderen.
11. Mit website var kortvarigt offline. Blev jeg hacket?
Ikke nødvendigvis. Nogle hostingudbydere har lukket websites ned som forholdsregel eller genstartet servere. Spørg efter årsagen, før I drager konklusioner.
12. Hvordan opdager jeg, at mit website er blevet angrebet?
Mulige tegn er ukendte administratorkonti, nye PHP-filer i upload-mappen, omdirigeringer til fremmede sider, fremmede sider i Googles indeks eller advarsler i Search Console. Bed hostingudbyderen om at opbevare adgangslogs fra og med den 20. oktober.
Hvis noget ikke stemmer
13. Hostingudbyderen svarer ikke eller undvigende. Hvad nu?
Spørg skriftligt, og sæt en rimelig frist. Udebliver svaret, bør I behandle serveren som ukontrolleret og overveje midlertidigt at omstille websitet til en statisk nødside.
14. Skal jeg skifte hostingudbyder?
Et skift midt i situationen skaber egne risici. Det er fornuftigt, hvis hostingudbyderen vedvarende ikke giver oplysninger eller fortsat driver gamle PHP-versioner uden rettelse. Hvad der er at tage hensyn til, beskriver Skift hostingudbyder efter en hændelse.
15. Skal jeg anmelde noget?
Hvis der er tegn på et angreb, og personoplysninger kan være berørt, kan der bestå en anmeldelsespligt efter GDPR, som regel inden for 72 timer. Afklar det med jeres databeskyttelsesrådgiver eller en advokat. Dette er ikke juridisk rådgivning.
Jeres korte tjekliste
- Spørg hostingudbyderen skriftligt om patchstatus og genstart.
- Kontrollér PHP-versionen i kundemenuen, afløs forældede grene.
- Gennemse administratorkonti og upload-mappen.
- Tjek Search Console for advarsler.
- Hent hjælp ved påfaldende forhold, før I sletter filer.
Hvordan hjælper PHP SOS konkret?
- Afklaring med hostingudbyderen: Vi formulerer forespørgslen eller fører samtalen og vurderer svaret.
- Undersøgelse af websitet: Vi leder efter spor i filer, database og konti, i det omfang hostingpakken tillader det.
- Oprydning: Finder vi skadelig kode, fjerner vi den og skifter alle adgange.
- Dokumentation: I modtager status skriftligt.
Ved en konkret mistanke hjælper nødhjælp ved hackede websites.
Konklusion
Som hostingkunde bærer I ved PHP2Shell ikke byrden af opdateringen, men ansvaret for jeres website. De fleste spørgsmål lader sig afklare med et klart skriftligt svar fra jeres hostingudbyder. Det, der bagefter er tilbage, er blikket på det egne website: konti, filer, Google-henvisninger. Den, der har gjort begge dele, har gjort sit og kan i tvivlstilfælde dokumentere at have handlet omhyggeligt.
Ofte stillede spørgsmål
Hvem er ansvarlig for PHP-opdateringen ved webhosting?
Ved shared hosting som regel hostingudbyderen, for den driver serveren og PHP-installationen. I er ansvarlige for jeres website, jeres adgange og valget af PHP-version i kundemenuen. Ved managed servere regulerer kontrakten fordelingen.
Hvorfor viser min hostingudbyder en gammel PHP-version?
Mange hostingudbydere og distributioner bygger rettelsen ind som backport i den eksisterende version. Nummeret forbliver så det samme, selv om sårbarheden er lukket. Stol derfor på en skriftlig bekræftelse fra hostingudbyderen, ikke på visningen.
Hvad kan jeg som hostingkunde selv kontrollere?
I kan kontrollere den indstillede PHP-version i kundemenuen, gennemse administratorkonti i jeres CMS, kigge efter ukendte filer i upload-mappen og tjekke Search Console for advarsler. Selve serverens patchstatus kan kun hostingudbyderen dokumentere.
Hjælper en firewall-indstilling i hostingpakken?
Firewall-regler fra hostingudbyderen eller en foranstillet tjeneste kan sænke risikoen. De erstatter dog ikke PHP-opdateringen på serveren. Spørg derfor altid først efter opdateringen.