# Säkerhetslucka på kommunens webbplats: vägledning för förvaltningen

> PHP2Shell och kommunen: Så skyddar förvaltningar TYPO3-webbplats, medborgarformulär och nämndinfo, klarlägger ansvar och informerar invånare sakligt.

Källa: https://phpsos.de/sv/branchen/kommunen-verwaltung/  
Aktualitet: 2026-10-25  
Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6

**Kort sagt:** En säkerhetslucka på en kommuns webbplats är en incident med offentlighet. Klargör vem som driver servern, låt PHP-patch och omstart bekräftas och håll en nödsida redo om webbplatsen tillfälligt måste tas offline. Kommunikationen till invånare och press bör vara samordnad innan frågorna kommer.

## Vilka PHP-system kommuner typiskt driver

Många kommunala webbplatser körs på [TYPO3](https://phpsos.de/sv/plattformen/typo3/), vid sidan av på andra PHP-system. Runt huvudwebbplatsen uppstår fler applikationer: onlineformulär för ansökningar och anmälningar, felanmälningstjänster, evenemangskalendrar, medborgardialog, platsportaler, förskoleanmälan, turistsidor, bibliotekskataloger och webbplatser för enskilda verksamheter som musikskola eller kommunala bolag.

Vissa av dessa applikationer driver kommunen själv, andra ett kommunalt datacenter, ett kommunalförbund eller en tillverkare av verksamhetssystem. Den som vill täppa till en lucka i PHP måste först veta på vems servrar vilken applikation körs.

Mindre kommuner saknar ofta egen IT-avdelning. Där sköter en medarbetare på centrala förvaltningen (Hauptamt) webbplatsen vid sidan av, tekniken ligger hos en byrå och avtalen härrör från en tid då ingen tänkte på kritiska luckor i programmeringsspråket. Större städer har det omvända problemet: så många webbplatser för förvaltningar, projekt och verksamheter att knappast någon känner till den fullständiga listan.

## Vad som står på spel på kommunala webbplatser

I formulär och portaler finns invånarnas uppgifter: adresser, födelsedata, uppgifter om barn vid förskole- och skolanmälningar, foton och platser vid felanmälningar, ansökningar. För offentliga organ gäller GDPR och delstatens dataskyddslag, och ansvarig är i regel dataskyddstillsynen i delstaten.

Minst lika tungt väger integriteten i innehållet: Kommunens webbplats är en officiell källa. Manipulerat innehåll, förfalskade kungörelser eller omdirigeringar till bedrägerisidor i stadens namn skadar förtroendet långt utöver den tekniska skadan.

Kommunala domäner åtnjuter förtroende hos invånare och sökmotorer. Just det gör dem attraktiva för angripare: som avsändare av spam, som förvaringsplats för bedrägerisidor eller som plattform för falska nyheter, till exempel om val, oväder eller avgifter.

## Kommunen och säkerhetsluckan på webbplatsen: vem beslutar vad?

| Roll | Typisk uppgift vid incidenten |
|---|---|
| Kommunalt datacenter eller IT-leverantör | Server, PHP-paket, omstart, nätseparering |
| Centrala förvaltningen eller IT-samordning | Övergripande styrning, uppdrag, nödlägesplan |
| Presstjänst | Information till invånare och media |
| Dataskyddsombud vid myndigheten | Bedömning av anmälningsskyldigheten |
| Webbyrå | CMS, tillägg, innehåll |

Luckan uppstår ofta mellan datacenter och byrå: Datacentret driver servern, byrån sköter TYPO3, och vardera sidan antar att den andra tar hand om PHP. En uppdatering av TYPO3 stänger inte PHP2Shell.

> **Agera direkt:**
> BSI (den tyska federala myndigheten för informationssäkerhet) har bedömt läget med varningsnivå 3 / orange och rekommenderar omedelbar uppdatering. Kan en kommunal webbserver inte patchas direkt, ta den tillfälligt offline och lägg upp en statisk nödsida.

## De första timmarna i förvaltningen

1. Lista alla webbplatser och verksamhetssystem med webbåtkomst, inklusive verksamheter och turism.
2. Låt respektive driftansvarig skriftligen bekräfta: PHP på 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 eller backport installerad, alla processer omstartade.
3. Ta obekräftade system offline eller skydda dem fram till patchen med [virtuell patchning](https://phpsos.de/sv/leistungen/waf-virtuelles-patching/). Cloudflare påpekar att regler enbart baserade på förfrågningsdata inte räcker; det är en brygga, ingen ersättning.
4. Säkra loggar från och med den 20 oktober 2026.
5. Informera presstjänst och dataskyddsombud och samordna ett sakligt budskap. Hjälp med det ger sidan om [krishantering och kommunikation](https://phpsos.de/sv/compliance/krisenkommunikation/).

Vad BSI i detalj rekommenderar sammanfattar sidan [BSI:s rekommendationer om PHP2Shell](https://phpsos.de/sv/compliance/bsi-empfehlungen/). Frågor om upphandling och nödupphandling klarar ni ut enligt era interna regler.

## Förebyggande: nödsida, förteckning och ersättare

Nästa kritiska lucka kommer med säkerhet. Tre förberedelser sparar då timmar: en färdig statisk nödsida med telefonnummer, öppettider och anvisningar för brådskande ärenden som kan levereras utan PHP. En underhållen förteckning över alla webbapplikationer med driftansvarig, kontaktperson och avtalsgrund. Och en ersättningsordning, så att beslut som att stänga av webbplatsen också kan fattas på kvällar och helger.

Dessa punkter hör hemma i förvaltningens [IT-nödlägesplan](https://phpsos.de/sv/compliance/notfallplan-erstellen/). Kommunala bolag, förvaltningar och verksamheter med egna webbplatser bör uttryckligen förekomma i den, eftersom de annars saknas vid inventeringen.

## Hur hjälper PHP SOS konkret?

- Vi stöder er IT-samordning vid förteckningen och klarlägger med datacenter, tillverkare och byrå vem som patchar vilket system.
- Där ni driver själva tar vi via [PHP-patchtjänsten](https://phpsos.de/sv/leistungen/php-patch-service/) hand om uppdatering, omstart och skriftligt underlag.
- Vid misstanke om kompromettering säkrar vi spår och kontrollerar innehållet efter manipulation innan webbplatsen går online igen.
- Vi dokumenterar förloppet så att dataskyddsombud, förvaltningsledning och revision kan följa det.


## Vanliga frågor

**Får vi bara stänga av kommunens webbplats?**  
BSI rekommenderar att webbservrar tillfälligt tas offline om uppdateringen inte kan göras direkt. För kommuner passar en statisk nödsida med de viktigaste kontaktvägarna. Vem som internt får besluta det bör stå i nödlägesplanen.

**Berörs systemet för fullmäktigehandlingar?**  
Det beror på teknik och drift. System för fullmäktigehandlingar och onlinetjänster drivs ofta av tillverkare av verksamhetssystem eller kommunala datacenter. Fråga där konkret om PHP-användning, patchnivå och omstart.

**Vilken dataskyddsmyndighet ansvarar för kommuner?**  
För offentliga organ i delstaterna och kommunerna ansvarar i regel dataskyddstillsynen i respektive tyskt förbundsland. Dessutom gäller delstaternas dataskyddslagar. Ert dataskyddsombud vid myndigheten känner till anmälningsvägarna.

## Källor

- [BSI: varningar och rekommendationer](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: säkerhetsmeddelanden](https://www.php.net/)
- [TYPO3](https://typo3.org/)