# Myndigheter tar webbplatser offline: vad företag kan lära

> Myndigheter stängde av webbplatser som försiktighetsåtgärd mot PHP2Shell. Vad som låg bakom, när en avstängning är rimlig och hur företag förbereder den.

Källa: https://phpsos.de/sv/blog/behoerden-webseiten-offline/  
Aktualitet: 2026-10-25  
Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6

**Kort sagt:** Efter varningen för PHP2Shell stängdes webbplatser ned i Tyskland, enligt medier bland annat Mainz stads webbportal samt sidor från den hessiska delstatsregeringen och BKA (den tyska federala kriminalpolisen). Det rörde sig om försiktighetsåtgärder enligt BSI:s (den tyska federala myndigheten för informationssäkerhet) rekommendation, inte om bekräftade angrepp. Företag kan lära sig: en avstängning är ett legitimt alternativ när en patch inte är möjlig direkt, och den lyckas bäst när den är förberedd.

## Webbplatser nedstängda på grund av PHP: vad som hände den 21 oktober

Samma dag som PHP:s säkerhetsuppdateringar kom var många offentliga webbplatser i Tyskland inte nåbara. Enligt mediarapporter stängde staden Mainz av sitt centrala webbportal som försiktighetsåtgärd. Förvaltningarna förblev nåbara via telefon och e-post.

I Hessen var enligt hessenschau bland annat delstatsregeringens sidor, Bundeskriminalamts (BKA) sidor samt städerna Kassels och Wiesbadens sidor tillfälligt offline. Delstatskansliet talade om tekniska anpassningar och meddelade inget angrepp. Delstatssidorna var nåbara igen på kvällen. Ytterligare kommuner, högskolor och sjukhus tog enligt rapporter också tjänster offline som försiktighetsåtgärd.

Bakgrunden är BSI:s rekommendation om PHP2Shell: uppdatera omedelbart och, om det inte går direkt, ta berörda webbservrar tillfälligt offline. Vad BSI närmare rekommenderar sammanfattar sidan [Vad BSI rekommenderar om PHP2Shell](https://phpsos.de/sv/compliance/bsi-empfehlungen/).

## Nedstängd betyder inte hackad

I kommentarer och sociala nätverk blev ”offline” snabbt ”hackad”. Det är efter allt som är känt fel. Avstängningarna var en skyddsåtgärd i ett ögonblick då många driftansvariga ännu inte säkert kände patchnivån på sina servrar.

För företag är den här skillnaden viktig på två sätt. För det första utåt: den som själv stänger av som försiktighetsåtgärd bör säga det och inte tiga. För det andra inåt: en avstängning besvarar inte frågan om servern angreps tidigare. Den stoppar bara fortsatta försök. Kontrollen av spår är fortfarande nödvändig.

En tredje punkt förbises ofta: en avstängning får inte förstöra spår. Den som för att stänga av servern helt enkelt installerar om den eller raderar loggar för att få plats, tar ifrån sig möjligheten att senare klarlägga vad som hände före avstängningen. Bättre är att leda om webbservern till en nödsida eller spärra åtkomsten utifrån och lämna själva servern med alla loggar oförändrade.

## Varför just offentliga organ reagerade så

Myndigheter driver ofta många webbplatser parallellt: huvudportal, fackportaler, formulärtjänster, sidor för enskilda förvaltningar och inrättningar. Ofta är flera leverantörer inblandade. Dagen för varningen var det för många förvaltningar helt enkelt inte möjligt att inom några timmar få en styrkt patchnivå för varje system. Avstängning som försiktighetsåtgärd var i det läget det snabbaste sättet att följa BSI:s rekommendation.

För företag med en gradvis vuxen IT-miljö är läget ofta liknande. Frågan ”Är allt patchat?” faller inte på tekniken utan på bristande överblick.

Anmärkningsvärt är också hur snabbt de hessiska delstatssidorna enligt rapporter kom tillbaka: redan på kvällen samma dag. Det visar att en avstängning som försiktighetsåtgärd inte behöver pågå i dagar. Den som känner sina system och behärskar uppdateringsvägen kan på några timmar patcha, kontrollera och gå online igen. Avstängningen överbryggar då bara tiden tills det finns klarhet.

## När en avstängning som försiktighetsåtgärd är rimlig för företag

Myndigheter har ett särskilt läge: många webbplatser, ofta distribuerat underhållna, och hög offentlig synlighet. Avvägningen de stod inför är ändå densamma som i varje företag. Följande översikt hjälper vid beslutet:

| Situation | Hellre stänga av | Hellre låta vara online |
|---|---|---|
| Patchnivå | oklar eller obekräftad | åtgärdad och styrkt, processer omstartade |
| PHP-version | 8.1 eller äldre utan bekräftad backport | gren med support på aktuell nivå |
| Driftläge | Apache med mod_php | patchad PHP-FPM med satta tillfälliga åtgärder |
| Data på servern | kunddata, inloggningar, betalningsdata | rent statiskt innehåll |
| Leverantörens tillgänglighet | patch möjlig först om flera dagar | patch inom kort inplanerad |

Avvägningen mellan att patcha, stänga av och vänta fördjupar inlägget [Patcha, stänga av eller vänta?](https://phpsos.de/sv/blog/patchen-abschalten-abwarten/). Vad som är tekniskt möjligt som övergång när uppdateringen ännu saknas står under [Omedelbara åtgärder utan patch](https://phpsos.de/sv/php2shell/sofortmassnahmen-ohne-patch/).

> **Viktigt:**
> Att tillfälligt stänga av en butik eller ett kundportal kostar omsättning. En komprometterad server med kunddata kan kosta betydligt mer, ända till anmälningsskyldighet. Fatta beslutet medvetet och dokumentera det skriftligt.

## Så förbereder ni en avstängning

Mainz visade vad det handlar om: förvaltningen förblev nåbar via andra kanaler. Det lyckas bara om det är förberett. De här stegen lönar sig innan nästa skarpa läge kommer:

1. **Ha en nödsida färdig:** en statisk HTML-sida utan PHP, med en kort förklaring, telefon- och e-postkontakt och vid behov upplysningar om pågående beställningar eller bokningar.
2. **Fastställ omkopplingsvägen:** Vem kan leda om webbplatsen till nödsidan, via webbserver, DNS eller en förkopplad tjänst? Hur lång tid tar det?
3. **Klargör beslutsbefogenheten:** Vem får besluta om en avstängning, även utanför arbetstid?
4. **Känn till beroende tjänster:** Hänger gränssnitt, appar eller partner på webbplatsen? Vem måste informeras i förväg?
5. **Definiera kriterier för återgång:** patch styrkt, omstart genomförd, första spårkontrollen utan fynd.
6. **Förformulera budskapet:** två till tre meningar för kunder, partner och press.

Hur ni kommunicerar utåt i ett sådant läge beskriver guiden om [krishantering och kommunikation](https://phpsos.de/sv/compliance/krisenkommunikation/).

## Hur hjälper PHP SOS konkret?

- **Beslutsunderlag:** Vi tar reda på patchnivå, driftläge och datalägen för era servrar och ger er en tydlig bedömning av om en avstängning är befogad.
- **Ordnad avstängning:** Vi kopplar om till en statisk nödsida utan att förlora loggar eller spår.
- **Patch och kontroll:** Vi uppdaterar PHP, startar om alla processer och söker efter avvikelser.
- **Kontrollerad återgång:** Vi tar webbplatsen online igen först när de överenskomna kriterierna är uppfyllda och dokumenterade.

Förloppet beskrivs i [PHP2Shell-akuthjälpen](https://phpsos.de/sv/leistungen/php2shell-soforthilfe/).

## Slutsats

Myndigheternas avstängningar var inget tecken på kontrollförlust utan en medveten försiktighetsåtgärd. För företag är det den egentliga lärdomen: att gå offline är ett legitimt beslut när patchnivån är oklar. Den som har förberett nödsida, ansvar och återgångskriterier fattar det på minuter i stället för timmar.


## Vanliga frågor

**Varför stängdes myndigheters webbplatser av på grund av PHP?**  
BSI (den tyska federala myndigheten för informationssäkerhet) rekommenderar vid PHP2Shell omedelbar uppdatering och, om det inte går direkt, att tillfälligt ta webbservrarna offline. Flera myndigheter följde rekommendationen som försiktighetsåtgärd tills deras system hade granskats och uppdaterats.

**Betyder en nedstängd webbplats att den har hackats?**  
Nej. En avstängning som försiktighetsåtgärd är en skyddsåtgärd. Det hessiska delstatskansliet meddelade till exempel enligt hessenschau uttryckligen inget angrepp. Om en server var berörd före avstängningen klarläggs först av en kontroll.

**Hur länge bör en webbplats vara offline?**  
Tills PHP är på en åtgärdad nivå, alla PHP-processer har startats om och en första kontroll av spår inte har gett några anmärkningar. Någon fast varaktighet finns inte; de hessiska delstatssidorna var enligt rapporter nåbara igen på kvällen samma dag.

**Vad visar jag besökarna medan webbplatsen är offline?**  
Helst en enkel, statisk nödsida utan PHP med en kort förklaring och de kontaktvägar där ni fortfarande går att nå. Den bör vara förberedd innan den behövs.

## Källor

- [hessenschau: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [ZDFheute: Sicherheitslücke bei PHP](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)
- [BSI: den tyska federala myndigheten för informationssäkerhet](https://www.bsi.bund.de/)