Kort sagt: Contao-säkerheten hänger vid PHP2Shell på serverns PHP, inte på Contao. Se till att både webb-PHP och kommandoradens PHP för Contao Manager är patchade. Därefter kontrollerar ni .env, egna mallar, mappen files och åtkomsterna till backend och Manager.
Contao och PHP2Shell: vad det handlar om
Contao är ett CMS som är utbrett i den tyskspråkiga regionen och som sedan version 4 bygger på ramverket Symfony. PHP-sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det enligt PHP-teamet möjligt att köra skadlig kod på distans utan inloggning. De berör PHP självt, alltså även varje Contao-installation på en opatchad server.
Många Contao-webbplatser tillhör medelstora företag, förbund och kommuner och sköts av byråer. Klargör därför först vem som ansvarar för PHP: webbhotellet, byrån eller er egen IT.
Ett vanligt misstag gäller underhållsläget. Contao kan spärra en webbplats för besökare, men den spärren levereras själv av PHP. Varje förfrågan når alltså fortfarande PHP-tolken. Mot PHP2Shell skyddar underhållsläget därför inte. När BSI (den tyska federala myndigheten för informationssäkerhet) rekommenderar att webbservrar tas offline till uppdateringen avses en spärr på server- eller hostingnivå, inte en inställning i CMS:et.
Contao-säkerhet börjar med två PHP-versioner
Contao använder PHP på två vägar. Webbservern hanterar sidanrop oftast via PHP-FPM. Contao Manager och Contao-konsolen arbetar dessutom med ett kommandoradens PHP, till exempel för installationer, uppdateringar och cronjobb. På hostingpaket med flera PHP-versioner kan det vara två olika program.
Contao Manager visar i sin serverkonfiguration vilken PHP-programfil den använder. Webbversionen ser ni i hostingpanelen. Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35; backports kan bära äldre nummer. Båda vägarna måste vara patchade och alla processer omstartade. Vilka PHP-versioner er Contao-version stöder kontrollerar ni enligt systemkraven på contao.org. Mer om kontrollen finns under Kontrollera PHP-version och patchstatus på rätt sätt.
Kataloger och filer i Contao
| Plats | Innehåll | Kontrollpunkt |
|---|---|---|
.env, .env.local |
Databasåtkomst, APP_SECRET |
förnya vid misstanke |
config/config.yaml |
Installationens konfiguration | oväntade ändringar |
public/ (äldre versioner web/) |
Dokumentrot med index.php, Contao Manager-fil, assets |
ytterligare PHP-filer |
files/ |
Redaktörernas filhantering | inga PHP-filer |
templates/ |
egna mallar, klassiskt som .html5 med PHP |
okända eller ändrade mallar |
system/config/localconfig.php |
äldre inställningar | inskjuten kod |
var/ |
Cache och loggar | säkra loggar, bygg om cachen |
Just templates/ underskattas: klassiska Contao-mallar med ändelsen .html5 är PHP-filer. Ett inskjutet kommando i en egen mall körs vid varje sidanrop och överlever Contao-uppdateringar.
Ofarliga första kontroller:
# PHP-filer i filhanteringen
find files -type f -name "*.php"
# Mallar som ändrats sedan den 17 oktober 2026
find templates -type f -newermt "2026-10-17"
# Kontrollera tillgängliga Contao-kommandon och beroenden
vendor/bin/contao-console list contao
composer audit
Contao Manager kan installera paket och därmed föra godtycklig kod till servern. Kontrollera efter en misstanke dess användarkonton, tilldela nya lösenord och ta bort åtkomster som tillhör tidigare tjänsteleverantörer.
Backend, Manager och tillägg
Backend ligger under /contao. Kontrollera användare med administratörsrättigheter och användargrupper med vittgående rättigheter, till exempel till filhantering, mallar eller användarhantering. Contao har tvåfaktorsinloggning; använd den för alla konton med förhöjda rättigheter.
Tillägg installeras via Composer eller Contao Manager. Varje sådant har PHP-kod, och äldre tillägg utan underhåll bromsar PHP-uppgraderingar. På servrar med flera webbplatser bör varje installation köras separat, så att en incident inte sprider sig till grannsidor; mer om detta under open_basedir och isolering per webbplats.
Vad en Contao-uppdatering klarar och inte klarar
En Contao-uppdatering via Manager eller Composer stänger kända fel i Contao och tillägg. Den patchar inte PHP och startar varken om PHP-FPM eller bakgrundsprocesser. Egna mallar, filer i files/ och främmande användarkonton förblir oförändrade. Efter ett byte av PHP-huvudversion bör cachen byggas om och webbplatsen kontrolleras i en testmiljö.
För webbplatser med många redaktörer lönar det sig efter patchen att titta på rättigheterna i backend. Den som får redigera mallar kan lägga PHP-kod i klassiska .html5-mallar. Den behörigheten hör bara hemma hos få, tekniskt kunniga personer. Detsamma gäller åtkomst till filhanteringen med uppladdningsrättigheter till offentligt nåbara mappar.
Hur hjälper PHP SOS konkret?
- Vi tar reda på webb- och CLI-PHP för er Contao-installation och låter patch och omstart bekräftas.
- Vi säkrar loggar, filer och databas innan vi ändrar något.
- Vi kontrollerar mallar,
files/, dokumentroten samt backend- och Manager-konton. - PHP-bytet med verifiering tar på begäran vår PHP-patchtjänst hand om, i samråd med er byrå.
Vanliga frågor
Berörs Contao av PHP2Shell?
Contao självt har ingen ny sårbarhet. Körs webbplatsen dock på ett opatchat PHP är den sårbar som varje PHP-applikation. En Contao-uppdatering stänger inte PHP-sårbarheten.
Varför är Contao Manager säkerhetsrelevant?
Contao Manager kan installera, uppdatera och ta bort paket. Den som har åtkomst till den kan föra in godtycklig kod. Åtkomsten kräver därför ett starkt lösenord och få behöriga.
Innehåller Contao-mallar PHP-kod?
De klassiska mallarna med ändelsen .html5 är PHP-mallar. Egna mallar i mappen templates kan därför innehålla PHP. Okända eller nyligen ändrade mallar bör ni kunna förklara.