# Cyberangrepp mot medelstora företag: första hjälpen för webbservrar

> Cyberangrepp mot ett medelstort företag utan egen säkerhetsavdelning? Vi tar över webbserverincidenten på distans. Ring oss eller skriv via WhatsApp.

Källa: https://phpsos.de/sv/soforthilfe/cyberangriff-mittelstand-erste-hilfe/  
Aktualitet: 2026-10-25  
Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6

**Kort sagt:** Berörs ni? Ring oss. Vi hjälper er. I medelstora företag saknas ofta en egen säkerhetsavdelning, och det är precis där vi kommer in: Vi tar över från första meddelandet första hjälpen för era webbservrar på distans, säkrar spår, stänger sårbarheten, rensar och dokumenterar tills incidenten är avslutad.

> **Agera direkt:**
> **Radera ingenting och installera inte om något nu.** Det gäller även när driften pressar och webbplatsen ska köra igen. Först säkra, sedan reparera. [Anmäl nödläge](https://phpsos.de/sv/notfall/), så talar vi om vad ni kan göra själva utan risk.

## Berörs ni? Typiskt läge i medelstora företag

Den som leder ett företag med 20, 200 eller 800 anställda har oftast en eller två personer för IT, en byrå för webbplatsen och ett webbhotell för servern. Det är normalt, men gör luckor synliga i allvarliga lägen. En akut risk ligger nära om:

- Er webbplats, ert kundportal eller er webbutik körs på PHP och ingen säkert vet vilken version det exakt är.
- Ett webbhotell, en kund eller en varning i webbläsaren rapporterar avvikelser.
- Er administratör berättar att filer eller konton på webbservern inte går att förklara.
- Ni inte vet vilka system som överhuvudtaget är offentligt nåbara.
- Webbservern har åtkomst till interna system, databaser eller filarkiv.

Att nästan alla PHP-versioner kan beröras nämner fackpressen som bakgrund: Enligt rapporter berörs versioner ända tillbaka till PHP 5.4. Hur läget ser ut i medelstora företag beskrivs på sidan [IT-säkerhet för medelstora företag och industri](https://phpsos.de/sv/branchen/mittelstand-industrie/).

## Det här gör ni direkt

1. **Bilda en krisgrupp.** Ledning, IT, eventuellt dataskydd: få personer, en beslutsfattare.
2. **Samla systemen.** Vilka servrar, webbplatser och portaler är berörda eller kan vara det? En enkel lista räcker.
3. **Ändra ingenting.** Inga städaktioner, ingen nyinstallation, ingen återställning av säkerhetskopior.
4. **Låt kontrollera förbindelserna.** Hänger webbservern ihop med det interna nätet? Då kan ett angrepp mot webbplatsen beröra mer än bara webbplatsen.
5. **Tala med webbhotell och byrå.** Be båda bevara protokoll och bekräfta läge och ansvar. Hur, står under [Så frågar ni ert webbhotell om patchstatus](https://phpsos.de/sv/ratgeber/hoster-patch-status-erfragen/).
6. **Säkra åtkomsterna.** Byt lösenord och nycklar bara efter överenskommelse och från rena enheter.
7. **Hör av er nu.** Ring eller skriv via WhatsApp.

## Första hjälpen för webbservrar: så går vi tillväga i medelstora företag

Ett medelstort företag har inte råd med stillestånd, men inte heller med ett okontrollerat ingrepp. Därför arbetar vi i steg som stör den pågående driften så lite som möjligt:

- **Steg 1, skärma av:** Vi klarlägger om de berörda servrarna tillfälligt måste begränsas. BSI (den tyska federala myndigheten för informationssäkerhet) rekommenderar vid PHP2Shell att webbservrar tas offline om en uppdatering inte är möjlig direkt.
- **Steg 2, säkra:** Vi säkrar loggar, filer och databaser så att incidenten förblir möjlig att belägga.
- **Steg 3, åtgärda:** Patch eller konfiguration, omstart av alla PHP-processer, stängning av okända åtkomster.
- **Steg 4, granska:** Vi söker på systemet och i omgivningen efter spår och följdskador, även på angränsande servrar.

En avgörande punkt för beslutsfattare: En CMS-uppdatering, till exempel av WordPress, stänger inte PHP-sårbarheten, och en patch tar inte bort skadlig kod som redan förts in. Den som säger ”klart” efter uppdateringen har inte gjort hälften av arbetet.

## Typiska fel i medelstora företag de första timmarna

Ur praktiken känner man igen några mönster som förstorar skadan. För det första skjuts ansvaret fram och tillbaka: Webbhotellet hänvisar till kunden, byrån till webbhotellet, administratören till ledningen. Bestäm därför tidigt vem som beslutar. För det andra återställs det för snabbt. Att återställa en gammal säkerhetskopia utan att stänga ingången tar med angriparen tillbaka direkt. För det tredje blir kommunikationen liggande: Medarbetare, kunder och affärspartner får veta om incidenten second hand.

Under [Krishantering efter ett angrepp](https://phpsos.de/sv/compliance/krisenkommunikation/) finns anvisningar om hur det går att lösa lugnt. Som tumregel gäller: hellre säga lite, men det belagt.

## Hur hjälper PHP SOS konkret?

1. **Kartlägga läget:** Vi klarlägger med er systemen, driftläget (PHP-FPM, mod_php eller LiteSpeed), uppgifterna och kontaktpersonerna. En första överblick uppstår snabbt, även utan detaljkunskap.
2. **Säkra och stänga:** Vi säkrar spår och stänger ingången utan att i onödan störa era rutiner.
3. **Granska och rensa:** Webshells, bakdörrar, cronjobb och främmande konton söks och tas bort. Detaljer finns under [Ta bort skadlig kod och webshells](https://phpsos.de/sv/leistungen/malware-entfernung/).
4. **Härda och rapportera:** Ni får en rapport för ledning, dataskydd och försäkringsbolag. På begäran bygger vi upp förebyggande arbete tillsammans med er, till exempel via ett [säkerhetsunderhållsavtal](https://phpsos.de/sv/leistungen/security-wartungsvertrag/).

Växer incidenten utöver en webbserver går vi över till strukturerad [incidenthantering](https://phpsos.de/sv/leistungen/incident-response/).

## Efteråt: förebyggande arbete utan egen säkerhetsavdelning

När incidenten är avslutad kvarstår frågan hur ni förhindrar nästa eller åtminstone upptäcker den tidigare. För företag utan eget säkerhetsteam är fyra saker viktigast: en aktuell [inventering av alla webbplatser och servrar](https://phpsos.de/sv/blog/inventar-websites-server/), en tydlig kontaktperson för uppdateringar, kontrollerade säkerhetskopior och en kort [IT-nödplan](https://phpsos.de/sv/compliance/notfallplan-erstellen/).

Om ert företag omfattas av skyldigheterna i [NIS2](https://phpsos.de/sv/compliance/nis2/) är en rättsfråga som vi inte besvarar. Allmän information finns på vår sida, bedömningen gör jurist eller dataskyddsombud.

## Det här bör ni skicka till oss

- en kort beskrivning av incidenten och tidpunkten
- en lista över webbplatser, butiker och portaler med webbhotell och, i den mån den är känd, PHP-version
- namn på administratör, byrå och webbhotell som känner till systemet
- uppgifter om huruvida webbservern är ansluten till interna system
- uppgifter om säkerhetskopior och om en befintlig cyberförsäkring

## Varför PHP SOS

Vi arbetar Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. För er betyder det: en kontaktperson i stället för många, arbete på distans utan resor i hela Europa, och en dokumentation som håller gentemot kunder, försäkringsbolag och myndigheter. Vi skiljer öppet mellan belagt, sannolikt och okänt och lovar inget som ingen kan hålla.

## Berörs ni? Ring oss. Vi hjälper er.

För första hjälpen behöver ni ingen egen säkerhetsavdelning, utan en kontaktperson som sätter igång. Vi tar över från första meddelandet och är med tills incidenten är avslutad och dokumenterad. [Anmäl nödläge nu](https://phpsos.de/sv/notfall/).


## Vanliga frågor

**Vad gör man vid ett cyberangrepp utan egen IT-säkerhetsavdelning?**  
Bevara spåren, radera ingenting, utse en beslutsfattare och skaffa extern hjälp. Ett medelstort företag behöver inte kunna allt själv. Vi tar över den tekniska sidan och samarbetar med er administratör, er byrå eller ert webbhotell.

**Är små och medelstora företag över huvud taget mål för angrepp?**  
Ja. Automatiserade skanningar söker efter ej patchade servrar utan att bry sig om företagets storlek. Vid PHP2Shell räknade Palo Alto Networks (Unit 42) över 22,6 miljoner exponerade, potentiellt sårbara instanser.

**Måste vår verksamhet stå still om webbservern har angripits?**  
Inte nödvändigtvis. Ofta går webbplats och butik att skärma av medan interna system fortsätter att köra. Vi klarlägger först om det finns förbindelser mellan webbservern och ert interna nät.

**Gäller NIS2 för oss och vad betyder det vid en incident?**  
Om ert företag omfattas av NIS2 beror på bransch och storlek och är en rättsfråga. En översikt ger vår sida om NIS2; bedömningen för ert fall hör hemma hos jurist eller dataskyddsombud.

**Hur förbereder vi oss inför nästa incident?**  
Med en inventering av systemen, en utsedd kontaktperson, kontrollerade säkerhetskopior och en kort nödplan. Vi hjälper till med uppbyggnaden efter att den akuta incidenten är avslutad.

## Källor

- [BSI: Tysklands federala myndighet för informationssäkerhet](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)