Kort sagt: Ved en managed server overtager udbyderen en del af sikkerheden, typisk operativsystem, PHP-pakker og standardtjenester. Applikation, plugins, adgange og det databeskyttelsesretlige ansvar bliver som regel hos jer. Efter PHP2Shell bør I afklare begge dele skriftligt: Hvad har udbyderen gjort, og hvad ligger stadig hos jer?
Hvad „managed“ betyder, og hvad det ikke betyder
Begrebet er ikke beskyttet. En udbyder forstår måske kun indspilning af operativsystemopdateringer ved det, en anden passer også webserver, PHP, database og sikkerhedskopier. Nogle abonnementer indeholder overvågning døgnet rundt, andre kun en kontaktperson i almindelig kontortid.
Netop ved en situation som PHP2Shell viser det sig, hvor præcis ydelsesbeskrivelsen er. De to sårbarheder CVE-2026-109618 og CVE-2026-109619 ligger i PHP selv. Om jeres udbyder vedligeholder PHP som en del af sin platform, eller om PHP gælder som „jeres software“, står i kontrakten. Stol ikke på antagelsen om, at nogen nok tager sig af det.
Managed server-sikkerhed: typisk opgavefordeling
Følgende tabel viser en hyppig fordeling. Den erstatter ikke et blik i jeres kontrakt, men hjælper med at stille de rigtige spørgsmål.
| Område | Oftest hos udbyderen | Oftest hos jer |
|---|---|---|
| Hardware, net, virtualisering | ja | nej |
| Operativsystemopdateringer | ja | nej |
| PHP-pakker fra platformen | ofte | hvis selv installeret |
| Genstart af PHP-FPM og webserver | ofte | ved egne tjenester |
| Serverdækkende PHP-konfiguration | ofte | ved særønsker |
| CMS, shop, plugins, egen kode | nej | ja |
| Applikationens administratorkonti | nej | ja |
| Sikkerhedskopier | hyppigt | kontrol af gendannelsen |
| Vurdering og anmeldelse af databrud | nej | ja |
| Overvågning af angreb | afhængigt af abonnement | afhængigt af abonnement |
Uklare felter er den egentlige risiko. Hvor I måtte skrive „afhængigt af abonnement“ eller „ofte“, mangler der en regel.
Hvilke spørgsmål I bør stille nu
Send jeres udbyder en kort, saglig forespørgsel. Bed om et svar i tekstform, så I senere kan fremlægge det. Disse punkter bør indgå:
- Hvilke PHP-versioner kører på vores server, og er de sikret mod CVE-2026-109618 og CVE-2026-109619?
- Siden hvornår gælder det, og blev alle PHP-processer og webserveren genstartet bagefter?
- Blev rettelsen indspillet som backport? Hvis ja, hvilken pakkeversion dokumenterer det?
- Var der tegn på angrebsforsøg eller påfaldende processer på vores server?
- Bliver webserverens logs gemt fra og med 20.10.2026, og hvordan får vi dem?
En færdigformuleret skabelon står under Spørg hostingudbyderen om patch-status. Versionsnummeret i kundemenuen er intet bevis: Ved backports forbliver det ofte uændret, f.eks. ved 8.2.34.
Også hvis udbyderen har patchet PHP, skal jeres applikation stadig undersøges. En patch fjerner ikke skadelig software, som blev smuglet ind før opdateringen, og beviser ikke, at intet er sket.
Hvad der bliver hos jer
Jeres del omfatter først og fremmest applikationen. Kontrollér CMS, shop og plugins for aktuelle versioner, fjern udvidelser, som ikke længere bruges, og gennemgå listen over administratorer. Vær opmærksom på nye filer i upload-mapper, fremmede omdirigeringer og usædvanlige planlagte opgaver i applikationen.
Dertil kommer den juridiske side. Når personoplysninger ved en hændelse havner i fremmede hænder, er det som regel jeres virksomhed som dataansvarlig, der har anmeldelsespligten, ikke udbyderen. Denne skal som databehandler underrette jer uden unødig forsinkelse. Grundtrækkene forklarer GDPR-anmeldelsespligt: 72 timer. Det er generel information, ingen juridisk rådgivning; enkeltsagen vurderes af databeskyttelsesrådgivere eller advokater.
Et yderligere punkt overses ofte: Software, som I eller jeres bureau selv har installeret på den managed server, f.eks. en ekstra PHP-version fra en ekstern kilde, en container eller et hjælpeprogram, falder som regel ikke ind under udbyderens vedligeholdelse. Spørg derfor også, om udbyderen ved, hvad der kører ved siden af standardudstyret. Og afklar, hvem der ved mistanke overtager undersøgelsen. Mange udbydere genopretter platformen, men undersøger ikke, om og hvilke data der var berørt. Netop dette svar har I dog brug for til vurderingen af mulige anmeldelsespligter.
Forbedr kontrakterne for fremtiden
Brug situationen til at fastskrive opgavefordelingen. Fornuftige er regler om sikkerhedsopdateringer inklusive genstart, om underretning ved kritiske sårbarheder, om opbevaring og udlevering af logs og om støtte ved hændelser. Spørg også, om udbyderen underretter jer aktivt, eller om I selv må spørge.
En egen server uden betjening er alternativet, men flytter hele arbejdet over til jer. Hvad det betyder, beskriver Sådan sikrer I selv root-server og vServer.
Hvordan hjælper PHP SOS konkret?
- Vi læser jeres ydelsesbeskrivelse og opstiller en opgavematrix, der gør huller synlige.
- Vi formulerer de tekniske spørgsmål til jeres udbyder og vurderer dens svar.
- Vi undersøger applikationsdelen, som ligger hos jer, for spor og forældede komponenter.
- Det, udbyderen ikke dækker, overtager vi på ønske via en sikkerhedsvedligeholdelsesaftale eller supplerer med sikkerhedsovervågning.
Ofte stillede spørgsmål
Er alt automatisk sikret ved en managed server?
Nej. Managed betyder, at udbyderen overtager bestemte, kontraktligt fastlagte opgaver, som regel operativsystem og standardtjenester. Applikation, plugins, adgange og egen software bliver ofte hos jer.
Hvor står det, hvad min udbyder er ansvarlig for?
I ydelsesbeskrivelsen og kontraktvilkårene, ofte også i et dokument om opgavefordelingen. Ved personoplysninger kommer databehandleraftalen til. Mangler der en klar regel for sikkerhedsopdateringer, så spørg skriftligt.
Skal jeg trods managed server selv gøre noget ved PHP2Shell?
Ja. Indhent en bekræftelse på, at alle PHP-versioner er patchet, og at processerne er genstartet. Undersøg desuden jeres applikation for spor, og afklar, om der består en anmeldelsespligt.
Hvem anmelder et databrud, hvis udbyderen var berørt?
Anmeldelsespligtig over for tilsynsmyndigheden er som regel den dataansvarlige, altså jeres virksomhed. Hostingudbyderen skal som databehandler underrette jer uden unødig forsinkelse. Få enkeltsagen vurderet af jeres databeskyttelsesrådgiver.