# Joomla-sårbarhet PHP2Shell: skydda Joomla-webbplatser > Skydda Joomla efter PHP2Shell: kontrollera PHP-versionen i systeminformationen, skydda configuration.php, granska Super User och tillägg. Källa: https://phpsos.de/sv/plattformen/joomla/ Aktualitet: 2026-10-25 Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6 **Kort sagt:** Den Joomla-sårbarhet som det talas om just nu heter PHP2Shell och finns i serverns PHP, inte i Joomla. En Joomla-uppdatering stänger den inte. Efter PHP-patch och omstart bör ni kontrollera `configuration.php`, mallöverskrivningar, tillägg och listan över Super User. ## Vad PHP2Shell betyder för Joomla Joomla är ett PHP-CMS och ärver varje svaghet i PHP under det. Sårbarheterna CVE-2026-109618 och CVE-2026-109619 gör det enligt PHP-teamet möjligt att köra skadlig kod utan inloggning. Berörda är de vanliga driftformerna PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. Framför allt mindre Joomla-webbplatser hos föreningar, hantverksföretag eller förbund körs ofta på delat webbhotell och underhålls sällan. Där ligger PHP-uppdateringen hos webbhotellet. Er uppgift är att fråga efter läget och kontrollera webbplatsen med avseende på spår. Vilka versioner som berörs visar [Vilka PHP-versioner berörs?](https://phpsos.de/sv/php2shell/betroffene-php-versionen/). ## Joomla-sårbarhet: kontrollera PHP-versionen I administrationsområdet visar **System > Systeminformation** PHP-versionen och de viktigaste PHP-inställningarna. Det är den version som Joomla faktiskt körs med på webben. Åtgärdade upstream-versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Visar Joomla ett äldre nummer kan en backport ändå vara installerad; det måste ert webbhotell bekräfta. På delat webbhotell går PHP-versionen ofta att ställa om per domän i webbhotellets kundmeny. Det växlar dock bara mellan de versioner som webbhotellet tillhandahåller; om dessa är patchade avgör webbhotellet. Ett byte till en nyare huvudversion kan ändå vara meningsfullt om er Joomla-version och alla tillägg stöder den. Testa det först, eftersom äldre tillägg ofta avbryts med felmeddelanden vid nyare PHP-versioner. Joomla anger själv minimikrav på PHP per huvudversion. Vilka PHP-versioner er Joomla-version stöder kontrollerar ni enligt systemkraven på joomla.org. Hos mycket gamla Joomla-versioner kan ett PHP-byte först kräva en Joomla-uppgradering. ## Typiska gömställen för skadlig kod i Joomla | Plats | Innehåll | Att vara uppmärksam på | |---|---|---| | `configuration.php` | Databasåtkomst, `$secret`, sökvägar för loggar och temp | Ändringsdatum, inskjuten kod | | `images/`, `media/` | Bilder och media | PHP-filer är misstänkta | | `tmp/` | temporära filer, även från installationer | Rester av främmande paket | | `templates//html/` | Mallöverskrivningar med PHP-kod | okända eller ändrade överskrivningar | | `plugins/system/` | Systemplugin som laddas vid varje anrop | okända plugin | | `administrator/logs/` | Loggar | säkra före ändringar | | `.htaccess` | Omdirigeringar, rewrite-regler | Vidarebefordringar enbart för sökmotorer | Systemplugin är särskilt populära eftersom de körs vid varje sidanrop. Ett okänt plugin i den mappen ska ni alltid kunna förklara. Ofarliga kontroller på kommandoraden (Joomla 4 och nyare har en egen konsol): ```bash # PHP-filer i media- och temp-mappar find images media tmp -type f -name "*.php" # Lista användare och tillägg php cli/joomla.php user:list php cli/joomla.php extension:list ``` > **Viktigt:** > Om er Joomla-webbplats skickar besökare från Google vidare till främmande sidor eller om Google visar en varning är servern med mycket stor sannolikhet redan komprometterad. Då räcker ingen uppdatering, utan det krävs en sanering och därefter en granskning i Search Console. ## Administratörsåtkomst och tillägg Administrationsområdet ligger under `/administrator`. Kontrollera användargruppen ”Super Users” med avseende på okända konton och på konton som tillhör tidigare tjänsteleverantörer. Aktivera den tvåfaktorsinloggning som Joomla har med och använd personliga i stället för delade konton. Tillägg från Joomla Extensions Directory och från tredje part är talrika på många webbplatser: formulär, gallerier, sidbyggare, nyhetsbrev. Varje sådant har egen PHP-kod och ofta egna uppladdningsfunktioner. Tillägg vars leverantör inte längre levererar uppdateringar är en ständig risk och försvårar varje PHP-uppgradering. Avinstallera allt som inte används helt och hållet. ## Vad en Joomla-uppdatering klarar och inte klarar En Joomla-uppdatering ersätter kärnfilerna och stänger kända sårbarheter i Joomla. Den patchar inte PHP, rör inte mallöverskrivningar och främmande tillägg och tar inte bort filer som inte hör till kärnan. Även databasposter som nya Super User blir kvar. Om er webbplats redan har ändrats hjälper förloppet under [Webbplatsen hackad? Akuthjälp på distans](https://phpsos.de/sv/leistungen/website-gehackt-notfallhilfe/). För sökandet efter bakdörrar lönar sig guiden [Känna igen och ta bort webshells](https://phpsos.de/sv/ratgeber/webshell-erkennen/). Om er Joomla-webbplats har ställts in av en byrå eller en frilansare, fråga där vilka tillägg och mallar som har anpassats individuellt. Anpassade filer går inte att helt enkelt jämföra med originalpaketet och kräver en enskild kontroll. ## Hur hjälper PHP SOS konkret? - Vi frågar efter PHP-statusen hos ert webbhotell eller kontrollerar den på er server, inklusive omstart. - Vi säkrar loggar, filer och databas före varje ändring. - Vi jämför kärnan med originalpaketet och kontrollerar överskrivningar, systemplugin, mediamappar och Super User. - Vid fynd saneras webbplatsen, åtkomsterna förnyas och vi hjälper till med att få bort Google-varningar. ## Vanliga frågor **Berörs Joomla av PHP2Shell?** Joomla självt har ingen ny sårbarhet, men det körs på PHP. Är serverns PHP inte patchat kan en angripare enligt PHP-teamet köra kod utan inloggning. En Joomla-uppdatering ändrar inget i det. **Var hittar jag PHP-versionen i Joomla?** I administrationsområdet under System > Systeminformation. Där ser ni också PHP-inställningarna. Om en backport är installerad framgår inte av numret; det måste ert webbhotell bekräfta. **Varför är mallöverskrivningar (template overrides) en risk?** Överskrivningar ligger i mallmappen och innehåller PHP-kod som ersätter utdata från komponenter och moduler. Insmugglad kod syns knappast där, eftersom överskrivningar inte ersätts vid Joomla-uppdateringar. ## Källor - [php.net: säkerhetsmeddelanden](https://www.php.net/) - [Joomla](https://www.joomla.org/) - [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/) - [Google Search Console, hjälp](https://support.google.com/webmasters/)