Ordlista: PHP och IT-säkerhet

125 facktermer i klartext, var och en med hänvisning till den passande fördjupande sidan.

#A B C D E F G H I J K L M N O P R S T U V W X Z

#

2FA: 2FA (tvåfaktorsautentisering) kräver vid inloggning utöver lösenordet ett andra bevis, till exempel en kod från en app eller en säkerhetsnyckel. Ett stulet lösenord räcker då inte längre. För alla adminåtkomster till CMS, hostingpanel och servrar bör 2FA vara standard. Införa tvåfaktorsautentisering för adminåtkomst →
3-2-1-säkerhetskopia: 3-2-1-regeln rekommenderar tre kopior av data på två olika lagringsmedier, varav en på en annan plats. Minst en kopia bör inte kunna ändras från servern, så att angripare inte kan radera eller kryptera den. En säkerhetskopia räknas först när återställningen är testad. Backupstrategi för servrar: säkerhetskopior enligt 3-2-1-regeln →

A

Apache: Apache HTTP Server är en av de äldsta och mest spridda webbservrarna. PHP körs i den antingen som modul (mod_php) eller via PHP-FPM med FastCGI. Med .htaccess-filer kan konfigurationen anpassas katalogvis. Säkra Apache med mod_php →

B

Backport: En backport för över en säkerhetsrättning till en äldre programversion utan att byta till den nya versionen. Linux-distributioner och webbhotell gör det ofta; det visade versionsnumret förblir då detsamma. Om en backport är installerad styrker paketets changelog och leverantörens bekräftelse, inte numret. PHP-uppgradering eller backport? Beslutet för äldre system →
Bakdörr: En bakdörr (backdoor) är en dold åtkomst genom vilken angripare kan återvända efter ett intrång. Det kan vara en fil, ett adminkonto, ett cronjobb eller en SSH-nyckel. Därför hör till varje rensning sökning efter alla slags åtkomster, inte bara efter filer. Hitta WordPress-bakdörrar: spåra dem systematiskt →
Bevissäkring: Bevissäkring innebär att säkra spår av en incident innan de går förlorade genom rensning, omstart eller ominstallation. Dit hör loggfiler, avbilder av lagringsmedier och, beroende på fall, arbetsminnet. Facktidningar rekommenderar efter PHP2Shell att spara serverloggar från och med den 20 oktober 2026. Säkra bevis innan ni installerar om servern →
Brute Force: Vid ett brute force-angrepp provar en angripare automatiserat många lösenord för ett konto. Målet är ofta admininloggningar till CMS, SSH eller FTP. Skydd ger starka lösenord, tvåfaktorsinloggning och automatiska spärrar som Fail2ban. Skydda admininloggningar mot brute force: brute force-skydd för varje inloggning →
BSI: BSI (Bundesamt für Sicherheit in der Informationstechnik, Tysklands federala myndighet för informationssäkerhet) är den tyska statens cybersäkerhetsmyndighet. Den publicerar varningar, rekommendationer och standarder som IT-Grundschutz. Om PHP2Shell har BSI utlyst varningsnivå 3 (orange) och rekommenderat omedelbar uppdatering. Vad BSI rekommenderar om PHP2Shell →

C

CDN: Ett CDN (Content Delivery Network) levererar innehåll via många distribuerade servrar och står därmed framför den egentliga webbplatsen. Många CDN erbjuder dessutom WAF-regler, till exempel Cloudflare mot PHP2Shell. Skyddet verkar bara för trafik via CDN:et och ersätter ingen PHP-uppdatering. Cloudflares skyddsregler mot PHP2Shell: vad de klarar och vad de inte klarar →
CERT-Bund: CERT-Bund är Computer Emergency Response Team för den tyska federala förvaltningen vid BSI. Det publicerar varnings- och informationstjänster om sårbarheter och underrättar nätoperatörer om sårbara system. Även om PHP2Shell har CERT-Bund varnat. Vad CERT-EU och CERT-Bund rekommenderar om PHP2Shell →
CERT-EU: CERT-EU är cybersäkerhetsteamet för Europeiska unionens institutioner, organ och byråer. Enligt rapporter anser CERT-EU det möjligt att versioner från och med PHP 5 berörs av PHP2Shell. Det rekommenderar att isolera offentligt nåbara applikationer om de inte kan patchas inom rimlig tid. Vad CERT-EU och CERT-Bund rekommenderar om PHP2Shell →
CGI: CGI (Common Gateway Interface) är ett gammalt gränssnitt där webbservern startar ett externt program för varje förfrågan och returnerar dess utdata. Det är enkelt men långsamt och har för PHP till stor del ersatts av FastCGI. Gamla CGI-upplägg finns fortfarande på vissa webbhotell och Windows-system. CGI och FastCGI: grunderna →
cgroups: cgroups (Control Groups) är en funktion i Linux-kärnan som begränsar minne, CPU och andra resurser för processgrupper. Containrar och systemd använder dem, till exempel med MemoryMax. php.net rekommenderar som tillfällig åtgärd mot PHP2Shell en minnesgräns via container eller cgroup i stället för via RLIMIT_AS eller RLIMIT_DATA. Sätta minnesgränser med systemd och cgroups →
Chain of Custody: Chain of custody (bevisningskedja) dokumenterar fullständigt vem som har säkrat, överlämnat och bearbetat ett bevismaterial och när. Kompletterad med kontrollsummor visar den att data inte har ändrats. Utan denna dokumentation förlorar spår i värde inför domstol eller gentemot försäkringsgivare. IT-forensik efter ett angrepp på webbservern →
Changelog: En changelog förtecknar ändringarna i en program- eller paketversion, vid säkerhetsrättningar oftast med CVE-nummer. Under Debian och Ubuntu visar apt-get changelog paketets changelog, i RHEL-familjen rpm -q --changelog. Så kan en backport styrkas även vid oförändrat versionsnummer. Styrk CVE-nummer i paketets changelog →
CLI: CLI (Command Line Interface) är PHP på kommandoraden, till exempel för cronjobb, CMS:ens konsolkommandon och Composer. CLI-PHP kan vara en annan version än den PHP som levererar webbsidor. Kommandot php -v visar därför bara kommandoradens version; båda vägarna måste vara patchade. PHP på kommandoraden (CLI) →
CloudLinux: CloudLinux är en Linux-distribution för delat webbhotell som skiljer kunder åt i begränsade miljöer. Med alt-php tillhandahåller den många PHP-versioner sida vid sida, även äldre. Var och en av dessa versioner måste patchas för sig. CloudLinux och alt-php: vad hostingkunder bör veta →
Command Injection: Vid command injection hamnar inmatningar okontrollerade i ett systemkommando som applikationen kör. Angriparen kan därmed starta egna kommandon med webbserverns rättigheter. Skydd ger att avstå från skalanrop där det är möjligt och konsekvent maskering med escapeshellarg(). Förhindra command injection i PHP →
Composer: Composer är pakethanteraren för PHP. Den installerar bibliotek enligt uppgifterna i composer.json och håller de exakta versionerna i composer.lock. Med composer audit kan installerade paket kontrolleras mot kända sårbarheter; sårbarheter i själva PHP hittar kommandot inte. Composer: pakethanteraren för PHP →
Container: En container är en avskärmad körmiljö som startar en applikation med alla beroenden från en image, till exempel med Docker. PHP i containern kommer från imagen, inte från värdsystemet. En uppdatering på värden patchar den därför inte; imagen måste byggas om och containern startas om. Driva PHP i containrar →
cPanel: cPanel är en förvaltningspanel för webbhotell, med WHM som gränssnitt för serveradministratören. PHP-versioner tillhandahålls där oftast via egna paket (EasyApache). Vilka builds som är patchade bekräftar paketstatus och webbhotellet. cPanel och WHM: säkra PHP →
Credential Stuffing: Vid credential stuffing provar angripare inloggningsuppgifter från tidigare dataläckor hos andra tjänster. Det fungerar eftersom många människor återanvänder lösenord. Skydd ger unika lösenord per tjänst och tvåfaktorsinloggning. Införa tvåfaktorsautentisering för adminåtkomst →
CSP: CSP (Content Security Policy) är en header som anger från vilka källor en sida får ladda skript, bilder och annat innehåll. Den försvårar XSS och införandet av främmande skript, till exempel vid skimming. En strikt CSP måste testas noga så att webbplatsen fortsätter fungera. Säkerhetsheaders för webbplatser: sätt säkerhetsheaders rätt →
CSRF: CSRF (Cross-Site Request Forgery) får webbläsaren hos en inloggad användare att oavsiktligt utlösa en åtgärd på en annan webbplats. Typiskt är ändringar i adminområden. Skydd ger slumpmässiga tokens i formulär och cookies med SameSite-attribut. CSRF-skydd i PHP-applikationer →
CVE: CVE (Common Vulnerabilities and Exposures) är en världsomspännande förteckning som ger varje känd säkerhetssårbarhet ett unikt nummer, till exempel CVE-2026-109618. Numret gör meddelanden från tillverkare, myndigheter och distributioner jämförbara. Med CVE-numret kan man också i paketets changelog kontrollera om en rättning är installerad. Styrk CVE-nummer i paketets changelog →
CVSS: CVSS (Common Vulnerability Scoring System) bedömer hur allvarlig en sårbarhet är på en skala från 0 till 10. Bedömningen tar hänsyn till bland annat om ett angrepp är möjligt över nätet och utan inloggning. PHP2Shell-sårbarheterna har vardera CVSS v4.0 9,2; om den konkreta risken i er miljö säger värdet ensamt ingenting.
Cyberförsäkring: En cyberförsäkring täcker beroende på avtal kostnader efter ett angrepp, till exempel för forensik, återställning eller driftavbrott. Många avtal innehåller skyldigheter som tidiga uppdateringar och omedelbar anmälan av skadan. Vad som gäller i det enskilda fallet klarar ni ut med er försäkringsgivare. Cyberförsäkring: vad som räknas vid en skada →

D

DDoS: Ett DDoS-angrepp (Distributed Denial of Service) överbelastar en tjänst med förfrågningar från många källor tills den inte längre går att nå. Data stjäls i regel inte. En DDoS ska skiljas från en exploit som riktat utnyttjar en sårbarhet. DDoS eller hackerangrepp? Bedöm angreppen rätt →
Defacement: Vid defacement ändrar angripare synligt startsidan eller innehållet på en webbplats, till exempel med budskap eller bilder. Det är iögonfallande men ofta bara det synliga tecknet på ett djupare intrång. Webbplatsen bör behandlas som komprometterad tills läget är klarlagt. Webbplatsen hackad, vad göra? Akuthjälp på distans →
Delat webbhotell: Vid delat webbhotell (shared hosting) delar många kunder på en server som webbhotellet driver. Webbhotellet ansvarar för PHP, operativsystem och webbserver, kunden för sin applikation. Vid PHP2Shell betyder det: fråga webbhotellet om patchnivån och granska den egna webbplatsen efter spår. Shared hosting: vad webbhotellet gör och vad ni måste göra →
Deserialisering: Deserialisering omvandlar lagrade data tillbaka till objekt, i PHP till exempel med unserialize(). Kommer data från användare kan angripare bygga objekt så att oönskad kod körs vid inläsningen. För användardata är JSON det säkrare valet. Osäker deserialisering i PHP: unserialize och säkerhet →
disable_functions: disable_functions är en php.ini-inställning som stänger av enskilda PHP-funktioner, typiskt sådana som kör systemkommandon. Den kan bara sättas i php.ini, inte i applikationskoden. Den försvårar för angripare men ersätter varken uppdateringar eller korrekta rättigheter. Använd PHP disable_functions rätt →
display_errors: display_errors avgör om PHP visar felmeddelanden direkt i webbläsaren. I produktion ska värdet vara Off, och fel skrivs i stället till en logg med log_errors. Synliga meddelanden avslöjar annars sökvägar, versioner och kodutdrag. display_errors off: stäng av felutskrifter i produktion →

E

EDR: EDR (Endpoint Detection and Response) är programvara på servrar och arbetsplatser som observerar processer, filåtkomster och nätverksförbindelser och rapporterar eller stoppar misstänkt beteende. På webbservrar kan den till exempel upptäcka att PHP-FPM startar ett skal. Eftersom det inte finns bekräftade IOC:er för PHP2Shell är sådan beteendeanalys särskilt viktig. Varningssignal: webbservern startar ett skal →
Embargo: Ett embargo är den överenskomna tid under vilken detaljer om en sårbarhet hålls hemliga tills patchar finns tillgängliga. Så kan tillverkare och distributioner förbereda uppdateringar. Vid PHP2Shell blev enligt flera rapporter detaljer offentliga innan embargot löpte ut; php.net aviserade därför patcharna den 20 oktober 2026. Varför PHP-sårbarheten blev känd före patchen →
End of Life: End of Life (EOL) betyder att en programvaruversion inte längre får uppdateringar från tillverkaren, inte heller säkerhetsrättningar. PHP 8.1 och äldre får inga officiella uppdateringar längre från PHP-projektet; för 7.4, 8.0 och 8.1 finns bara minimala backports i källkoden. System med EOL-programvara behöver en uppgraderingsplan. PHP End of Life: risker med föråldrade versioner →
Exploit: En exploit är kod eller ett förfarande som faktiskt utnyttjar en konkret sårbarhet. Så fort en patch släpps kan angripare analysera den och ta fram exploits. Därför förkortas ofta tiden till angrepp tydligt efter att en patch publicerats. Tidsfönstret mellan patch och angrepp →
expose_php: expose_php styr om PHP avslöjar sin version i HTTP-headern X-Powered-By. I produktion bör inställningen stå på Off, så att angripare inte direkt ser vilken PHP-version som körs. Det är informationsskydd, inte en ersättning för en uppdatering. expose_php och Server-huvudet: dölj versionsuppgifter →
Extension: Ett extension (tillägg) utökar PHP med funktioner, till exempel för databaser, bilder eller kryptering. Tillägg körs i samma process som PHP och har samma rättigheter. Att stänga av tillägg som inte behövs minskar angreppsytan. Förstå PHP-tillägg (extensions) →

F

Fail2ban: Fail2ban läser loggfiler och spärrar IP-adresser tillfälligt i brandväggen efter upprepade felförsök. Typiska användningsområden är SSH, e-post och webbplatsers admininloggningar. Mot distribuerade angrepp från många adresser hjälper det bara begränsat. Ställ in Fail2ban för webbservrar →
FastCGI: FastCGI är ett protokoll genom vilket en webbserver lämnar vidare förfrågningar till permanent körande programprocesser, till exempel till PHP-FPM. Till skillnad från klassisk CGI startas inte en ny process för varje förfrågan. Eftersom processer hanterar flera förfrågningar i följd är en ren omstart efter uppdateringar viktig. CGI och FastCGI: grunderna →
Forensik: IT-forensik undersöker metodiskt efter en incident vad som har hänt: hur angriparen kom in, vad angriparen har gjort och vilka data som berörs. Underlag är säkrade kopior av lagringsmedier, arbetsminne och loggar. Resultaten är viktiga för anmälningsskyldighet, försäkring och polisanmälan. IT-forensik efter ett angrepp på webbservern →
FPM-pool: En pool är en grupp PHP-FPM-processer med egen konfiguration, egen socket och helst egen systemanvändare. En egen pool per webbplats skiljer webbplatserna åt, så att ett intrång i en sida inte direkt når de andras filer. I poolen kan inställningar läggas fast med php_admin_value. Isolera PHP-FPM-pooler per webbplats →
FrankenPHP: FrankenPHP är en modern applikationsserver för PHP baserad på webbservern Caddy. PHP är där inbäddat direkt, och i worker-läge ligger applikationen kvar i minnet mellan förfrågningarna. Enligt PHP-teamet hör FrankenPHP till de berörda driftlägena; efter uppdateringen måste servern startas om med den nya PHP-versionen. Säkra FrankenPHP →

G

GDPR art. 33: Art. 33 GDPR förpliktar personuppgiftsansvariga att anmäla en personuppgiftsincident till den behöriga tillsynsmyndigheten om möjligt inom 72 timmar efter att de fått kännedom. Skyldigheten bortfaller bara om incidenten sannolikt inte medför någon risk för de registrerade. I det enskilda fallet ger dataskyddsombud eller jurister råd. GDPR-anmälningsplikt: 72 timmar efter incidenten →
GDPR art. 34: Art. 34 GDPR reglerar underrättelsen av de berörda personerna själva. Den krävs när en personuppgiftsincident sannolikt medför hög risk för deras rättigheter och friheter. Om det är fallet bör bedömas med dataskyddsombud eller jurister. GDPR-anmälningsplikt: 72 timmar efter incidenten →
GHSA: GHSA är beteckningen på en GitHub Security Advisory, alltså ett säkerhetsmeddelande i GitHubs databas. Många öppen källkod-projekt, även PHP, publicerar sina meddelanden där utöver CVE-numret. För PHP2Shell är det GHSA-w8hw-w9fx-j79w och GHSA-6wmf-4rv5-p3rp.

H

HSTS: HSTS (HTTP Strict Transport Security) är en header med vilken en webbplats talar om för webbläsaren att under en viss tid bara anropa den via HTTPS. Det hindrar att förbindelser nedgraderas till okrypterad HTTP. Innan det slås på bör HTTPS fungera tillförlitligt på alla berörda domäner. Säkerhetsheaders för webbplatser: sätt säkerhetsheaders rätt →
.htaccess: .htaccess-filer är katalogvisa konfigurationsfiler för Apache och kompatibla servrar som LiteSpeed. CMS använder dem för omdirigeringar och åtkomstskydd, angripare för dolda omdirigeringar. Nginx läser inte .htaccess; skyddsregler måste där läggas i serverkonfigurationen. Konfigurera Apache för PHP säkert →
Härdning: Härdning innebär att ställa in ett system så att det erbjuder så liten angreppsyta som möjligt: bara nödvändiga tjänster, knappa rättigheter, säkra standardinställningar. På PHP-servrar hör till exempel separata pooler, spärrade funktioner och ingen PHP-körning i uppladdningsmappar dit. Härdning begränsar skador men ersätter inte uppdateringar. Serverhärdning för PHP-webbservrar →

I

Image-digest: En image-digest är ett hashvärde (sha256) som entydigt fastställer innehållet i en containerimage. Till skillnad från en tagg som php:8.3-fpm, som kan flyttas till nya builds, ändras en digest aldrig. Den som låser images via digest måste medvetet uppdatera den efter en säkerhetsuppdatering. Officiella PHP Docker-images: taggar, digests och ombyggnad →
Incidenthantering: Incidenthantering (incident response) är den ordnade bearbetningen av en säkerhetsincident: upptäcka, begränsa, säkra spår, rensa, återställa och följa upp. Ett fastlagt förlopp hindrar att bevis förstörs eller bakdörrar förbises i stressen. Viktiga är tydligt ansvar och en fullständig dokumentation. Incident response vid serverangrepp →
ini_set(): ini_set() är en PHP-funktion med vilken ett skript ändrar inställningar under körning. Vad ett skript får ändra beror på inställningens ändringsläge. Eftersom även skadlig kod kan anropa ini_set() hör skyddsinställningar hemma i server- eller poolkonfigurationen, inte i applikationskoden. php.ini förklarad: uppbyggnad, nivåer och företräde →
Integritetskontroll: Vid en integritetskontroll jämförs filer med ett känt originalskick, oftast via kontrollsummor. Många CMS har egna kommandon för det, till exempel för WordPress, Nextcloud eller Matomo. Anpassade filer, uppladdningar och databasinnehåll täcker en sådan jämförelse inte. Jämför CMS-kärnfiler med originalet →
IOC: IOC (Indicator of Compromise) är konkreta spår av ett angrepp, till exempel filnamn, hashvärden, IP-adresser eller domäner. Med dem kan system kontrolleras riktat mot ett känt angrepp. För PHP2Shell finns inga publicerade, bekräftade IOC:er; upptäckten bygger på beteendeanalys. Är jag redan komprometterad? Tecken efter PHP2Shell →
ISO 27001: ISO/IEC 27001 är den internationella standarden för ledningssystem för informationssäkerhet (ISMS). Den kräver ett ordnat hanterande av risker, åtgärder och förbättringar, inklusive hantering av sårbarheter och incidenter. Företag kan certifiera sig enligt den. ISO 27001 och TISAX: vad som berör webbservrar →
IT-Grundschutz: BSI:s IT-Grundschutz är en metodik med moduler och krav för informationssäkerhet i företag och myndigheter. Det finns egna moduler till exempel för webbservrar och webbapplikationer. Den kan användas som grund för ett ISMS eller en certifiering. CIS-benchmarks och BSI-moduler för webbservrar →

J

JIT: JIT (Just-in-Time-kompilator) översätter ofta körd PHP-kod till maskinkod under körning. Den kom med PHP 8.0 och är en del av OPcache. För typiska webbplatser är prestandavinsten oftast liten, för beräkningstunga uppgifter större. JIT och prestanda i PHP 8 →

K

Kryptominer: En kryptominer är skadlig programvara som beräknar kryptovaluta på främmande servrar. Typiska tecken är ihållande hög CPU-belastning och okända processer. En miner visar att en angripare kan köra kod; servern bör då anses vara komprometterad. Kryptominer på webbservern: tecken och tillvägagångssätt →

L

Least Privilege: Least privilege (principen om minsta möjliga rättigheter) betyder att varje användare och varje process bara får de rättigheter den verkligen behöver. Körs PHP med knappa rättigheter kan en angripare ställa till mindre efter ett intrång. Det gäller systemanvändare, filrättigheter, databaskonton och adminåtkomster. Least Privilege: webbserveranvändarens behörigheter →
Lessons Learned: Lessons learned är uppföljningen av en incident: Vad hände, vad gick bra, vad måste ändras? Målet är konkreta åtgärder med ansvariga och tidpunkter, inte skuldbeläggning. Resultaten flödar in i nödlägesplan, patchprocess och utbildningar. Lessons learned: bli bättre efter incidenten →
LFI: LFI (Local File Inclusion) föreligger när en applikation inkluderar en lokal fil vars sökväg angriparen kan påverka. Så kan konfigurationsfiler läsas eller under vissa omständigheter insmugglad kod köras. Skydd ger fasta tillåtelselistor i stället för filnamn från användarinmatning. Förhindra Local File Inclusion i PHP: LFI och RFI →
LiteSpeed: LiteSpeed är en webbserver som i stor utsträckning är kompatibel med Apache-konfigurationer som .htaccess och kopplar PHP via det egna gränssnittet LSAPI. Den är utbredd hos webbhotell; OpenLiteSpeed är den fria varianten. Enligt PHP-teamet hör LiteSpeed till de driftlägen som berörs av PHP2Shell. LiteSpeed och LSAPI: uppdatera PHP →

M

Managed server: Vid en managed server tillhandahåller leverantören en egen server och tar avtalsenligt över delar av driften, ofta uppdateringar av operativsystem och PHP. Exakt vad som ingår framgår av avtalet och skiljer sig kraftigt mellan leverantörer. Vid tvekan bör ansvaret för patchar bekräftas skriftligen. Managed server: klargör ansvaret →
memory_limit: memory_limit begränsar hur mycket arbetsminne ett enskilt PHP-skript får använda; standard är 128 MB. Nås gränsen avbryter PHP med ett out-of-memory-fel. Mot CVE-2026-109618 rekommenderar php.net tillfälligt memory_limit=-1, fast inställt, samt en minnesgräns via container eller cgroup. Ställ in memory_limit rätt →
mod_php: mod_php är PHP-modulen för webbservern Apache. PHP körs då direkt i Apache-processen och oftast med dess användarrättigheter. PHP-teamet bedömer risken från PHP2Shell som högst vid mod_php; där har en exploit visats redan innan någon applikationskod körs. mod_php förklarat: PHP i Apache-processen →
ModSecurity: ModSecurity är en utbredd WAF med öppen källkod som körs som modul i Apache, Nginx eller andra webbservrar. Den utvärderar förfrågningar utifrån regler och kan logga eller blockera dem. Oftast används den tillsammans med OWASP Core Rule Set. Använd ModSecurity och OWASP Core Rule Set →

N

Nginx: Nginx är en utbredd webbserver och reverse proxy. Den kör inte PHP själv utan lämnar förfrågningar vidare via FastCGI till PHP-FPM. Viktigt är en konfiguration som bara skickar riktiga PHP-filer till PHP och undantar uppladdningsmappar. Säkra Nginx med PHP-FPM →
NIS2: NIS2 är ett EU-direktiv som för många företag och verksamheter fastställer skyldigheter för riskhantering och rapportering av säkerhetsincidenter. Det omfattar betydligt fler branscher och företagsstorlekar än den tidigare regleringen. Om ert företag omfattas bör ni klarlägga utifrån den nationella genomförandelagstiftningen och med juridisk rådgivning. NIS2 och säkerhet för webbservrar →
Nödlägesplan: En IT-nödlägesplan fastställer vem som gör vad vid en incident: kontakter, beslutsvägar, första steg, återstart. Den måste också finnas tillgänglig offline om system faller bort. Regelbundna övningar visar om den fungerar när det är allvar. Skapa en IT-beredskapsplan för webbservrar →

O

OPcache: OPcache är PHP:s medföljande bytekodcache. Den lagrar redan översatt kod i delat minne så att PHP-filer inte kompileras om vid varje förfrågan. Efter en uppdatering eller rensning måste cachen tömmas respektive PHP startas om, annars kan gammal kod fortsätta köras. OPcache förklarat: PHP:s bytekodcache →
open_basedir: open_basedir begränsar vilka kataloger PHP-skript får nå med filfunktioner. På servrar med flera webbplatser hindrar det att en sida enkelt läser en annans filer. Det är ingen fullständig isolering; separata systemanvändare och FPM-pooler hör till. open_basedir och isolering per webbplats →
Origin-server: Origin-servern är den egentliga webbservern bakom ett CDN eller en reverse proxy. Går den även att nå direkt via sin IP-adress kan angripare kringgå skyddet framför den. Därför bör origin bara ta emot förbindelser från CDN:et eller proxyn. Cloudflares skyddsregler mot PHP2Shell: vad de klarar och vad de inte klarar →
Out of Memory: Out of Memory beskriver tillståndet där ett program inte får mer minne och måste avbrytas. I PHP sker det när memory_limit överskrids. Vid CVE-2026-109618 kan ett sådant avbrott stoppa PHP medan förfrågningsdata bara är delvis initierade. memory_limit och Out-of-Memory: vad som händer inuti →
OWASP CRS: OWASP Core Rule Set (CRS) är ett fritt tillgängligt regelverk för ModSecurity och kompatibla WAF:ar. Det upptäcker typiska angreppsklasser som SQL-injektion eller command injection. Reglerna måste anpassas till applikationen, annars blockerar de även legitima förfrågningar. Använd ModSecurity och OWASP Core Rule Set →
OWASP Top 10: OWASP Top 10 är en regelbundet uppdaterad lista över de viktigaste riskerna för webbapplikationer, utgiven av den ideella organisationen OWASP Foundation. De fungerar som underlag för utveckling, granskningar och utbildningar. Som komplement erbjuder OWASP Cheat Sheets med konkreta motåtgärder.
Övervakning: Övervakning (monitoring) är den löpande bevakningen av system, till exempel tillgänglighet, belastning, loggfiler och filändringar. Säkerhetsövervakning söker riktat efter avvikelser som nya PHP-filer eller skal som startas av webbservern. Den hjälper bara om någon också bedömer larmen i god tid. Säkerhetsövervakning för webbservrar →

P

Patch: En patch är en rättning från tillverkaren som stänger en sårbarhet i programkoden. Den verkar först när den är installerad och alla körande processer har startats om. En patch tar inte bort skadlig programvara som redan har förts in och bevisar inte att inget hände tidigare. PHP-patchtjänst: installera uppdateringen, med omstart och intyg →
PECL: PECL (PHP Extension Community Library) är förteckningen över PHP-tillägg som är skrivna i C och inte ingår i standardutbudet. Sådana tillägg måste passa den installerade PHP-versionen. Efter byte av PHP-huvudversion måste de ofta byggas om eller ersättas. Förstå PHP-tillägg (extensions) →
PHP: PHP är ett skriptspråk som främst körs på webbservrar och skapar webbsidor där. Många vanliga CMS och butikssystem som WordPress, TYPO3 eller Shopware är skrivna i PHP. En sårbarhet i PHP-tolken berör därför alla applikationer som körs på den, oavsett hur uppdaterade de själva är. Vad är PHP? Programspråket förklarat →
php-cgi: php-cgi är PHP-programmet för drift via CGI eller FastCGI. Enligt PHP-teamet hör det till de driftlägen som berörs av PHP2Shell. Där php-cgi fortfarande används lönar det sig att kontrollera om ett byte till PHP-FPM är möjligt. php-cgi: ett arv med risk →
PHP-FPM: PHP-FPM (FastCGI Process Manager) är en egen tjänst som hanterar PHP-processer i pooler och tar emot förfrågningar från webbservern via FastCGI. Det är i dag det vanliga driftläget med Nginx och på många Apache-servrar. Efter en PHP-uppdatering måste PHP-FPM startas om så att inga gamla processer fortsätter köra. PHP-FPM förklarat: processhanterare, pooler och workers →
php.ini: php.ini är PHP:s centrala konfigurationsfil. Den fastställer gränser samt säkerhets- och felinställningar, till exempel memory_limit eller display_errors. Ofta finns en egen php.ini för varje SAPI (FPM, CLI, Apache), och de måste underhållas separat. php.ini förklarad: uppbyggnad, nivåer och företräde →
PHP2Shell: PHP2Shell är namnet på två kritiska sårbarheter i själva PHP, CVE-2026-109618 och CVE-2026-109619, var och en med CVSS v4.0 9,2. De tillåter körning av skadlig kod på distans utan inloggning. De är åtgärdade i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35, publicerade den 21 oktober 2026. Vad är PHP2Shell? Sårbarheten enkelt förklarad →
php_admin_value: php_admin_value sätter en PHP-inställning i FPM-poolen eller i Apache-konfigurationen så att applikationer inte kan skriva över den med ini_set() eller .htaccess. För strömbrytare finns php_admin_flag. php.net rekommenderar den vägen för de tillfälliga åtgärderna mot PHP2Shell, till exempel för memory_limit. php_admin_value: spärra inställningar mot överskrivning →
Plesk: Plesk är en utbredd förvaltningspanel för webbservrar där domäner, PHP-versioner och hanterare kan ställas in per webbplats. Den levererar egna PHP-paket men kan också använda distributionens PHP-paket. Vid backports kan Plesk fortsätta visa ett äldre nummer som 8.2.34 fast patchen är installerad. Plesk-server: kontrollera och patcha PHP-versioner →
post_max_size: post_max_size anger hur stort innehållet i en POST-förfrågan får vara sammanlagt; standard är 8 MB. Som tillfällig åtgärd mot PHP2Shell anger php.net 8M för webbplatser utan uppladdningar och 32M med uppladdningar. upload_max_filesize måste ligga under detta. Begränsa post_max_size och upload_max_filesize förnuftigt →
Proof of Concept: En Proof of Concept (PoC) är ett bevis för att en sårbarhet går att utnyttja, ofta i form av enkel demonstrationskod. Den används av tillverkare och forskare för bedömning men kan också tjäna angripare som förlaga. En publicerad PoC ökar därför i regel brådskan att patcha.
PUB-avtal: Ett PUB-avtal (personuppgiftsbiträdesavtal, på tyska AVV) enligt art. 28 GDPR behövs när en leverantör behandlar personuppgifter på uppdrag eller kan komma åt dem. Det gäller ofta även webbhotell, byråer och IT-leverantörer med serveråtkomst. Avtalet reglerar bland annat instruktioner, skyddsåtgärder och rapporteringsvägar. Personuppgiftsbehandling när leverantörer får åtkomst till servrar →

R

Ransomware: Ransomware krypterar data och kräver lösensumma för dekrypteringen, ofta i kombination med hot om att offentliggöra stulna data. En komprometterad webbserver kan vara ingångspunkt. Det effektivaste skyddet är separata, testade säkerhetskopior och en nödlägesplan. Backupstrategi för servrar: säkerhetskopior enligt 3-2-1-regeln →
RCE: RCE (Remote Code Execution) betyder att en angripare på distans kan köra egen kod på ett främmande system. Krävs ingen inloggning för det talar man om unauthenticated RCE, den allvarligaste klassen av webbserversårbarheter. Med RCE kan en angripare läsa data, lägga upp bakdörrar och fortsätta missbruka servern. Vad är PHP2Shell? Sårbarheten enkelt förklarad →
Release-cykel: Varje PHP-version får först buggrättningar och därefter under en tid bara säkerhetsrättningar. När respektive version upphör publicerar PHP-projektet på php.net under de versioner som stöds. PHP 8.2 når enligt php.net slutet på supporten den 31 december 2026. PHP-versioner och releasecykel →
Reverse proxy: En reverse proxy tar emot förfrågningar från internet och lämnar dem vidare till en eller flera servrar bakom sig. Den kan sköta TLS, fördela last och fungera som plats för filterregler eller en WAF. Den ger bara skydd om servrarna bakom den inte dessutom går att nå direkt. Filtrera uppladdningsförfrågningar i kanten: möjligheter och risker →
RFI: RFI (Remote File Inclusion) är varianten där en applikation laddar och kör kod från en främmande adress. I PHP förhindrar inställningen allow_url_include=Off, som länge varit standard, inkludering av fjärrfiler. Gamla applikationer och konfigurationer bör kontrolleras mot detta. Förhindra Local File Inclusion i PHP: LFI och RFI →
Root-server: En root-server är en hyrd server där kunden har fulla administratörsrättigheter. Därmed ligger också hela ansvaret för uppdateringar, härdning och övervakning hos kunden. Leverantören tillhandahåller bara hårdvara och nät. Säkra root-server och vServer på egen hand →

S

SAPI: SAPI (Server Application Programming Interface) är det gränssnitt genom vilket PHP kommunicerar med sin omgivning, till exempel med Apache, PHP-FPM eller kommandoraden. Vilken SAPI som används avgör hur PHP-processer startas, återanvänds och startas om. Enligt PHP-teamet berörs flera driftlägen av PHP2Shell, mod_php med högst risk. SAPI förklarat: så pratar PHP med webbservern →
SEO-spam: SEO-spam är insmugglade sidor, länkar eller omdirigeringar med vilka angripare placerar främmande erbjudanden i sökmotorer. Ofta ser bara sökmotorer eller besökare från Google det manipulerade innehållet. Vid sidan av rensningen krävs därefter en kontroll i Google Search Console. SEO-spam och främmande sidor i Googles index →
serialize_handler: session.serialize_handler bestämmer i vilket format PHP lagrar sessionsdata, till exempel php, php_binary eller php_serialize. Anvisningen om CVE-2026-115560 gäller bara en ovanlig konfiguration där formatet ändras under körning och session upload progress är aktivt. Åtgärd fram till nästa buggfixsläpp är session.upload_progress.enabled=0. CVE-2026-115560: anvisningen om Session Upload Progress →
Session: En session knyter ihop flera förfrågningar från samma besökare, till exempel för inloggning eller varukorg. PHP lagrar uppgifterna på serversidan och ger webbläsaren ett sessions-ID, som standard i cookien PHPSESSID. Den som känner till ett annat sessions-ID kan under vissa omständigheter uppträda som den användaren. Sessioner och cookies i PHP →
session.upload_progress: Session upload progress är en PHP-funktion som lagrar förloppet för pågående filuppladdningar i sessionen; den är påslagen som standard. php.net rekommenderar tillfälligt session.upload_progress.enabled=0 i php.ini, FPM-pool eller serverkonfiguration, och därefter omstart av alla workers. Enligt fackrapporter stänger inställningen ensam inte båda PHP2Shell-sårbarheterna; uppdateringen förblir ett måste. Stäng av session.upload_progress: rätt och permanent →
SIEM: Ett SIEM (Security Information and Event Management) samlar loggdata från många system centralt och analyserar dem efter säkerhetshändelser. Så kan samband upptäckas som försvinner i enskilda loggar. Ett SIEM kräver underhållna regler och människor som hanterar larmen. Säkerhetsövervakning för webbservrar →
Skimming: Vid skimming i webbutiker för angripare in JavaScript i kassan som läser och skickar iväg betalnings- och kunduppgifter. Koden sitter ofta i temafiler, spårningsskript eller databasposter. Kunderna märker inget, handlaren ofta först genom meddelanden från betalningsleverantörer. Hackad webbutik? IT-säkerhet för handlare →
SQL-injektion: Vid en SQL-injektion för en angripare in egna databaskommandon i en applikation via inmatningar. Så kan data läsas ut eller ändras. Skydd ger förberedda satser (prepared statements) med platshållare i stället för hopsatta SQL-texter. Förhindra SQL-injektion i PHP →
SSRF: SSRF (Server-Side Request Forgery) får en applikation att på angriparens uppdrag skicka förfrågningar till andra adresser, även till interna system. Så blir tjänster nåbara som egentligen är avskärmade utifrån. Skydd ger tillåtelselistor för mål och spärr av interna adressintervall. Förhindra Server-Side Request Forgery (SSRF) i PHP →
Superglobals: Superglobals är variabler som PHP gör tillgängliga i varje skript, till exempel $_GET, $_POST, $_COOKIE, $_FILES, $_SERVER och $_SESSION. De innehåller den aktuella förfrågans data, som till stor del kommer från besökaren. Allt i dem måste behandlas som icke betrodd och kontrolleras. Superglobaler: $_GET, $_POST, $_FILES med flera →
sury.org: sury.org är ett paketförråd från Ondřej Surý med aktuella och äldre PHP-versioner för Debian och Ubuntu. Det är ett tredjepartserbjudande och inte Debians säkerhetsarkiv. Enligt rapporter tillhandahölls där builds för alla grenar från 5.6 till 8.5. Förrådet sury.org: PHP-paket från tredjepartskälla →
Säkerhetsheaders: Säkerhetsheaders är HTTP-svarshuvuden som ger webbläsaren skyddsregler, till exempel Content-Security-Policy, Strict-Transport-Security eller X-Content-Type-Options. De skyddar besökare mot vissa angrepp i webbläsaren. Mot sårbarheter på servern som PHP2Shell hjälper de inte. Säkerhetsheaders för webbplatser: sätt säkerhetsheaders rätt →

T

Threat Hunting: Threat hunting är den aktiva sökningen efter angripare i det egna nätet utan att någon varning föreligger. Utgångspunkt är hypoteser, till exempel: Har en webbserverprocess startat ett skal sedan den 20 oktober? På så sätt hittas intrång som automatiska verktyg missar. Varningssignal: webbservern startar ett skal →
Tidslinje: En tidslinje (timeline) ordnar alla spår av en incident kronologiskt: loggposter, filändringar, inloggningar, processer. Den visar när angreppet började och vad som skedde i vilken ordning. Viktigt är en enhetlig tidszon, helst UTC. Upprätta tidslinjen för en incident →
TISAX: TISAX är ett gransknings- och utbytesförfarande för informationssäkerhet inom fordonsindustrin. Det bygger på en kravkatalog från den tyska bilindustrins branschorganisation och drivs av ENX Association. Underleverantörer måste med det visa sin säkerhetsnivå gentemot tillverkarna. ISO 27001 och TISAX: vad som berör webbservrar →
TLS: TLS (Transport Layer Security) krypterar förbindelsen mellan webbläsare och server; känns igen på HTTPS. Aktuellt rekommenderas TLS 1.2 och 1.3, äldre protokollversioner bör vara avstängda. TLS skyddar data på vägen, inte mot sårbarheter i själva servern. Konfigurera TLS och HTTPS rätt →
Type Juggling: Type juggling kallas PHP:s automatiska typomvandling, till exempel vid lös jämförelse med ==. Därigenom kan värden räknas som lika fast de inte är det, vilket blir farligt vid kontroll av lösenord eller tokens. Skydd ger strikta jämförelser med === och hash_equals() för hemligheter. Type juggling i PHP: lösa jämförelser som säkerhetsrisk →

U

upload_max_filesize: upload_max_filesize begränsar storleken på en enskild uppladdad fil; standard är 2 MB. Värdet måste vara lägre än post_max_size, eftersom filen är en del av POST-förfrågan. För generösa värden ökar angreppsytan utan nytta. Begränsa post_max_size och upload_max_filesize förnuftigt →
.user.ini: .user.ini-filer är katalogvisa PHP-inställningar som PHP-FPM och CGI läser av. Med dem kan webbplatsinnehavare utan serveråtkomst ändra enskilda värden, men bara sådana som PHP tillåter. Säkerhetsrelevanta inställningar som session.upload_progress.enabled=0 mot PHP2Shell ska enligt php.net inte sättas via .user.ini. php.ini förklarad: uppbyggnad, nivåer och företräde →

V

Varningsnivå: BSI placerar hotläget vid säkerhetsvarningar i nivåer som också är färgmarkerade. Nivå 3 (orange) står för ett affärskritiskt läge med möjlig massiv påverkan på den normala driften. För PHP2Shell gäller varningsnivå 3 / orange. BSI:s varningsnivå orange: vad bedömningen betyder →
VdS 10000: VdS 10000 är en riktlinje från VdS Schadenverhütung (tysk organisation för skadeförebyggande) för informationssäkerhet i små och medelstora företag. Den är slankare än ISO 27001 och anpassad efter små och medelstora företags möjligheter. En certifiering enligt den är möjlig. VdS 10000: informationssäkerhet för små och medelstora företag →
Virtuell patchning: Virtuell patchning blockerar angrepp mot en känd sårbarhet framför applikationen, oftast med en WAF, utan att ändra den sårbara koden. Det ger tid tills den riktiga uppdateringen är möjlig. Vid PHP2Shell varnar bland andra Cloudflare för att regler enbart baserade på förfrågningsdata inte räcker; uppdateringen förblir ett måste. WAF och virtuell patchning för PHP →
vServer: En vServer (virtuell server) är en virtuell dator på delad hårdvara, med eget operativsystem och oftast root-åtkomst. För säkerheten gäller detsamma som för root-servern: uppdateringar och härdning är kundens sak. Många vServers körs med förinstallerade paneler som Plesk. Säkra root-server och vServer på egen hand →

W

WAF: En WAF (Web Application Firewall) granskar HTTP-förfrågningar framför applikationen och blockerar kända angreppsmönster. Den kan köras som molntjänst, som proxy eller som webbservermodul. Den ger tid men ersätter inte en uppdatering, och den kringgås om servern även går att nå direkt. WAF och virtuell patchning för PHP →
Webshell: En webshell är ett skript som angripare lägger på en webbserver för att fjärrstyra den via webbläsaren. Den är ofta liten, kamouflerad och gömd i uppladdnings- eller cachemappar. En webshell finns kvar även efter en PHP- eller CMS-uppdatering och måste sökas upp riktat. Upptäcka och ta bort webshell →

X

XSS: XSS (Cross-Site Scripting) betyder att främmande JavaScript via en webbplats körs i andra besökares webbläsare. Därmed kan sessioner kapas eller formulärinmatningar läsas med. Skydd ger konsekvent kodning av alla utdata och en Content Security Policy. Förhindra XSS i PHP: avvärj cross-site scripting säkert →
XXE: XXE (XML External Entities) utnyttjar att XML-parsrar kan ladda externa hänvisningar i dokument. Därmed kan under vissa omständigheter filer läsas från servern eller interna förfrågningar utlösas. Skydd ger att stänga av inläsning av externa entiteter vid bearbetning av icke betrodda XML-data. Förhindra XML External Entities (XXE) i PHP →

Z

ZAC: Zentrale Ansprechstellen Cybercrime (ZAC), de centrala kontaktpunkterna för it-brottslighet hos den tyska polisen, är specialiserade kontaktställen för företag och myndigheter som har drabbats av ett cyberangrepp. De finns i alla tyska delstater och hos BKA (Tysklands federala kriminalpolis). De tar emot anmälningar och ger råd om fortsatt tillvägagångssätt. Göra en anmälan: centrala kontaktpunkter för cyberbrott →
Zend Engine: Zend Engine är kärnan i PHP-tolken. Den översätter PHP-kod till interna instruktioner (opcodes), kör dem och hanterar minnet. Fel i Zend Engine påverkar varje PHP-applikation och kan bara åtgärdas med en PHP-uppdatering. Zend Engine: PHP:s hjärta →
Zero-Day: En zero-day är en sårbarhet som utnyttjas eller är offentligt känd innan tillverkaren tillhandahåller en patch. Driftansvariga har då noll dagars förvarning. Fram till patchen hjälper bara tillfälliga åtgärder, avskärmning och övervakning. Tidsfönstret mellan patch och angrepp →

Direktkontakt

Varje timme räknas. Skriv till oss nu.

Beskriv kort system, PHP-version och observation. Vi hör av oss, klarlägger läget och arbetar på distans tills incidenten är avslutad och dokumenterad.

WhatsApp-nödläge Ring