Kort sagt: En webshell er en lille fil, hvorigennem en fremmed kan fjernstyre jeres server. Den, der har fundet en, er meget sandsynligt berørt og bør kontakte os med det samme. Slet ikke, kald ikke, sikr først. Vi afklarer på afstand, hvordan den kom ind på serveren, om der er flere adgange, og renser serveren.
Slet intet og opsæt intet på ny nu. Også selve webshellen forbliver foreløbig liggende, så den kan sikres. Er I berørt? Ring til os eller skriv på WhatsApp, eller meld fundet via Meld en nødsituation.
I har fundet en webshell: Hvad betyder det?
En webshell er et PHP-script (eller et script i et andet serversprog), der modtager kommandoer udefra. Dermed kan angribere læse filer, hente data, indlæse skadelig kode og nå flere systemer. Filen er derfor sjældent angrebets mål. Den er den bagdør, en indbrudstyv efterlader, for at han kan komme igen.
Det har to følger. For det første: Nogen havde allerede skriveadgang til jeres server eller kunne udføre kode. For det andet: Den fundne fil er sandsynligvis ikke den eneste. Dertil kommer det, man ofte ikke ved: Siden hvornår ligger den dér, og hvad er der i mellemtiden gjort med den?
Hvordan I genkender en webshell
- en PHP-fil i en mappe, hvor der ikke burde ligge nogen, for eksempel uploads, cache, billeder eller midlertidige mapper
- filnavne, der ligner systemfiler, men ikke hører til jeres software, eller navne med dobbelt endelse
- ulæselig kode med lange tegnstrenge, kodning og funktioner til at udføre kommandoer, se Genkend slørede PHP-kode
- en ændringsdato, der ikke passer til jeres opdateringer
- adgange til denne fil i logs, ofte fra fremmede adresser og med POST-forespørgsler
- webserverprocesser, der starter en shell, som beskrevet under Varselssignal: Webserveren starter en shell
Hvordan I tolker fund korrekt, står under PHP-filer i upload-mappen og udførligt under Genkend og fjern webshells.
Hvad I gør med det samme
- Kald ikke filen og udfør den ikke. Ingen tests i browseren.
- Slet den ikke og flyt den ikke. Ændr hverken indhold eller tidsstempel.
- Notér: fuld sti, filnavn, tidspunkt for fundet, hvem der opdagede den, og med hvad.
- Sikr filen og metadata: En kopi med ejer, rettigheder og tidsstempler. Læsende kontrolkommandoer er nok, for eksempel:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Gem logs: Lad ikke adgangs- og fejlprotokoller fra webserver og PHP blive overskrevet. Fagpressen anbefaler at gemme serverlogs fra den 20.10.2026.
- Afskærm serveren, hvis nødvendigt: Hvis I formoder, at data siver ud, så tag siden af nettet. Hvordan I bevarer beviser undervejs, beskriver Sikr beviser, før I opsætter på ny.
- Informér os, før adgangskoder ændres, eller filer renses.
Hvordan hjælper PHP SOS konkret?
- Danne overblik over situationen: Hvad blev fundet, hvor, hvornår og af hvem? Hvilke systemer ligger på samme server?
- Sikre og lukke: Vi sikrer fundet, filer, database og logs og spærrer adgange, der virker mistænkelige.
- Kontrollere og rense: Vi leder efter flere webshells, ændrede kernefiler, skjulte cronjobs, fremmede admin-konti og ukendte SSH-nøgler og fjerner dem. Fremgangsmåden svarer til ydelsen Fjern malware og webshells.
- Hærde og rapportere: Vi udpeger den sandsynlige indgang, lukker den og sikrer serveren. I modtager en dokumentation med fund og tidslinje.
Hvordan kom webshellen ind på serveren?
Typiske veje er forældede plugins eller udvidelser, usikre filuploads, stjålne adgangsdata og sårbarheder i serverens software. Siden offentliggørelsen af PHP2Shell er en yderligere mulighed kommet til: PHP uden rettelserne fra 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 kan på afstand misbruges til udførelse af kode. Bekræftede Indicators of Compromise findes der ikke hertil; opdagelsen bygger på adfærd. Om indgangen hos jer gik via PHP2Shell eller en anden vej, kan kun udledes af sporene, og vi markerer, hvad der er dokumenteret, og hvad der er formodning. Hvordan logs hjælper hertil, viser Analysér webserverlogs.
En rettelse fjerner ikke en eksisterende webshell. Også beskyttelsen mod fremtidige fund hører med: Forbyd PHP-udførelse i upload-mapper forhindrer mange tilfælde. Husk desuden malwarescanneres grænser: En scanning uden fund er ikke et signal om, at faren er drevet over.
Hvis I skal vide, hvad der præcis er sket, for eksempel til forsikringsselskab eller myndigheder, kan en it-forensik være fornuftig.
Og hvis webshellen kommer igen efter sletningen?
Det sker ofte og har som regel to grunde. Enten findes der mindst én yderligere bagdør, der opretter fundet på ny, eller indgangen er stadig åben, og angriberen kommer simpelthen igen. Ingen af delene kan løses ved gentagen sletning. Vi leder derfor efter helheden af ændringer: nye og ændrede filer, poster i database og konfiguration, planlagte opgaver, konti. En liste over nyligt ændrede filer er et fornuftigt begyndelsespunkt, men erstatter ikke fagfolks kontrol.
Hvad I bør sende til os
- filens sti og navn, helst som kopi med tidsstempler (overleveringsvejen afstemmer vi)
- uddrag fra adgangslogs omkring denne fil, hvis I har adgang
- servertype, hostingudbyder, PHP-version og driftsform, hvis kendt
- hvilke websites og applikationer der kører på serveren
- hvornår der sidst var opdateringer, uploads eller ændringer
Hvorfor PHP SOS
Vi arbejder Made in Germany og har sammen med vores partnernetværk af cyberprofessionelle i over 25 år specialiseret os i it-sikkerhed. Én kontaktperson fører jer gennem hændelsen. Vi arbejder på afstand uden transport i hele Tyskland og Europa, dokumenterer hvert skridt og giver ingen løfter, som ingen kan holde. Vi bliver ved, indtil hændelsen er afsluttet og dokumenteret.
Er I berørt? Ring til os. Vi hjælper.
En fundet webshell er et varselstegn, som I bør tage alvorligt. Kontakt os nu, pr. opkald eller WhatsApp, og vi overtager fra den første besked. Meld en nødsituation nu
Ofte stillede spørgsmål
Jeg har fundet en webshell. Må jeg bare slette filen?
Ikke som det første. Filen viser, hvornår og med hvad angriberen kom. Sikr den først sammen med tidsstempler og ejer, derefter fjernes den målrettet. Den, der kun sletter, efterlader som regel flere adgange.
Skal jeg kalde den mistænkelige fil i browseren for at se, hvad den gør?
Nej. Et kald kan udføre den skadelige kode og sløre flere spor. Kontrollér filen kun læsende og helst på en kopi.
Er en malwarescanner nok til at finde alle webshells?
Ikke pålideligt. Scannere genkender kendte mønstre, men slørede eller nybyggede webshells slipper forbi dem. En ren scanning beviser ikke, at der ikke er mere.
Hvordan ved jeg, hvor længe webshellen har ligget på serveren?
Tegn giver ændringsdato, adgangs- og fejllogs samt sammenligninger med andre nye filer. Tidsstempler kan dog forfalskes. Derfor vurderer vi flere kilder og markerer, hvad der er dokumenteret, og hvad der er formodning.
Skal jeg anmelde fundet?
Så snart personoplysninger kan være berørt, kan en anmeldelse til tilsynsmyndigheden være nødvendig. Hertil rådgiver databeskyttelsesrådgivere eller advokater; vi leverer de tekniske fakta.