# Hittat en webshell? Så agerar ni rätt nu

> Hittat en webshell eller misstänkt PHP-fil? Radera inte, säkra först. Vi klarlägger omfattning och ingång. Ring oss eller skriv via WhatsApp.

Källa: https://phpsos.de/sv/soforthilfe/webshell-gefunden/  
Aktualitet: 2026-10-25  
Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6

**Kort sagt:** En webshell är en liten fil som låter en obehörig fjärrstyra er server. Den som har hittat en berörs mycket sannolikt och bör höra av sig direkt. Radera inte, anropa inte, säkra först. Vi klarlägger på distans hur den kom in på servern, om det finns fler åtkomster, och rensar servern.

> **Agera direkt:**
> **Radera ingenting och installera inte om något nu.** Även själva webshellen får tills vidare ligga kvar, så att den kan säkras. Berörs ni? Ring eller skriv via WhatsApp, eller anmäl fyndet via [Anmäl nödläge](https://phpsos.de/sv/notfall/).

## Ni har hittat en webshell: vad betyder det?

En webshell är ett PHP-skript (eller ett skript i ett annat serverspråk) som tar emot kommandon utifrån. Med den kan angripare läsa filer, ladda ned data, ladda in skadlig kod och nå fler system. Filen är därför sällan angreppets mål. Den är bakdörren som en inbrottstjuv lämnar kvar för att kunna komma tillbaka.

Det får två följder. För det första: Någon hade redan skrivåtkomst till er server eller kunde köra kod. För det andra: Den hittade filen är sannolikt inte den enda. Dessutom finns det man ofta inte vet: Sedan när har den legat där och vad har gjorts med den under tiden?

## Så känner ni igen en webshell

- en PHP-fil i en mapp där det inte borde ligga några, till exempel uppladdningar, cache, bilder eller temporära kataloger
- filnamn som ser ut som systemfiler men inte hör till er programvara, eller namn med dubbel ändelse
- oläsbar kod med långa teckensträngar, kodning och funktioner för att köra kommandon, se [Känna igen obfuskerad PHP-kod](https://phpsos.de/sv/blog/verschleierter-php-code/)
- ett ändringsdatum som inte stämmer med era uppdateringar
- åtkomster till filen i loggarna, ofta från främmande adresser och med POST-förfrågningar
- webbserverprocesser som startar ett skal, som beskrivs i [Varningssignal: webbservern startar ett skal](https://phpsos.de/sv/blog/webserver-startet-shell/)

Hur ni tolkar fyndplatserna står under [PHP-filer i uppladdningsmappen](https://phpsos.de/sv/blog/php-dateien-im-upload-ordner/) och utförligt under [Upptäcka och ta bort webshells](https://phpsos.de/sv/ratgeber/webshell-erkennen/).

## Det här gör ni direkt

1. **Anropa inte filen och kör den inte.** Inga tester i webbläsaren.
2. **Radera den inte och flytta den inte.** Ändra varken innehåll eller tidsstämpel.
3. **Anteckna:** fullständig sökväg, filnamn, tidpunkt för fyndet, vem som upptäckte den och med vad.
4. **Säkra filen och metadata:** En kopia med ägare, rättigheter och tidsstämplar. Kontrollkommandon som bara läser räcker, till exempel:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Bevara loggarna:** Låt inte åtkomst- och felloggar för webbserver och PHP skrivas över. Fackpressen rekommenderar att serverloggar sparas från och med den 20 oktober 2026.
6. **Skärma av servern vid behov:** Om ni misstänker att data läcker ut, ta webbplatsen offline. Hur ni bevarar bevis samtidigt beskrivs i [Säkra bevis innan ni installerar om](https://phpsos.de/sv/blog/beweise-sichern-vor-neuinstallation/).
7. **Informera oss** innan lösenord byts eller filer rensas.

## Hur hjälper PHP SOS konkret?

1. **Kartlägga läget:** Vad hittades, var, när och av vem? Vilka system ligger på samma server?
2. **Säkra och stänga:** Vi säkrar fyndet, filer, databas och loggar och spärrar åtkomster som ser misstänkta ut.
3. **Granska och rensa:** Vi söker efter fler webshells, ändrade kärnfiler, [dolda cronjobb](https://phpsos.de/sv/blog/cronjobs-als-hintertuer/), främmande adminkonton och [okända SSH-nycklar](https://phpsos.de/sv/blog/ssh-schluessel-pruefen/) och tar bort dem. Tillvägagångssättet motsvarar tjänsten [Ta bort skadlig kod och webshells](https://phpsos.de/sv/leistungen/malware-entfernung/).
4. **Härda och rapportera:** Vi anger den sannolika ingångsporten, stänger den och säkrar servern. Ni får en dokumentation med fynd och tidslinje.

## Hur kom webshellen in på servern?

Typiska vägar är föråldrade plugin eller tillägg, osäkra filuppladdningar, stulna inloggningsuppgifter och sårbarheter i serverns programvara. Sedan PHP2Shell publicerades finns ytterligare en möjlighet: PHP utan rättningarna från 8.5.12, 8.4.27, 8.3.36 eller 8.2.35 kan missbrukas på distans för att köra kod. Bekräftade Indicators of Compromise finns inte för detta; upptäckten bygger på beteende. Om ingången hos er gick via PHP2Shell eller en annan väg går bara att utläsa ur spåren, och vi markerar vad som är belagt och vad som är en gissning. Hur loggar hjälper till visar [Analysera webbserverloggar](https://phpsos.de/sv/ratgeber/logfiles-auswerten/).

En patch tar inte bort en befintlig webshell. Skyddet mot framtida fynd hör också dit: [Förbjuda PHP-körning i uppladdningsmappar](https://phpsos.de/sv/blog/php-in-uploads-verbieten/) förhindrar många fall. Tänk också på [begränsningarna hos skannrar för skadlig kod](https://phpsos.de/sv/blog/grenzen-von-malware-scannern/): En skanning utan fynd är ingen signal om att faran är över.

Om ni behöver veta exakt vad som har hänt, till exempel för försäkringsbolag eller myndigheter, kan [IT-forensik](https://phpsos.de/sv/leistungen/it-forensik/) vara meningsfull.

## Och om webshellen kommer tillbaka efter radering?

Det händer ofta och har oftast två orsaker. Antingen finns minst en bakdörr till som skapar fyndet på nytt, eller så är ingångsporten fortfarande öppen och angriparen kommer helt enkelt tillbaka. Ingetdera löses genom att radera upprepade gånger. Därför söker vi efter helheten av förändringar: nya och ändrade filer, poster i databas och konfiguration, schemalagda uppgifter, konton. En [lista över nyligen ändrade filer](https://phpsos.de/sv/blog/geaenderte-dateien-finden/) är en vettig början, men ersätter inte granskningen av fackfolk.

## Det här bör ni skicka till oss

- filens sökväg och namn, helst som kopia med tidsstämplar (överlämningsvägen stämmer vi av)
- utdrag ur åtkomstloggarna kring filen, om ni har åtkomst
- servertyp, webbhotell, PHP-version och driftläge, om det är känt
- vilka webbplatser och program som körs på servern
- när uppdateringar, uppladdningar eller ändringar senast skedde

## Varför PHP SOS

Vi arbetar Made in Germany och är sedan över 25 år, tillsammans med vårt partnernätverk av cyberproffs, specialiserade på IT-säkerhet. En kontaktperson leder er genom incidenten. Vi arbetar på distans utan resor i hela Europa, dokumenterar varje steg och ger inga löften som ingen kan hålla. Vi är med tills incidenten är avslutad och dokumenterad.

## Berörs ni? Ring oss. Vi hjälper er.

En hittad webshell är en varningssignal som ni bör ta på allvar. Hör av er nu, via samtal eller WhatsApp, så tar vi över från första meddelandet. [Anmäl nödläge nu](https://phpsos.de/sv/notfall/)


## Vanliga frågor

**Jag har hittat en webshell. Får jag helt enkelt radera filen?**  
Helst inte som det första. Filen visar när och med vad angriparen kom in. Säkra den först tillsammans med tidsstämplar och ägare, därefter tas den bort på ett riktat sätt. Den som bara raderar lämnar oftast fler åtkomster kvar.

**Ska jag öppna den misstänkta filen i webbläsaren för att se vad den gör?**  
Nej. Ett anrop kan köra den skadliga koden och sudda ut fler spår. Granska filen bara i läsläge och helst på en kopia.

**Räcker en skanner för skadlig kod för att hitta alla webshells?**  
Inte tillförlitligt. Skannrar känner igen kända mönster, men obfuskerade eller nybyggda webshells går dem förbi. En ren skanning bevisar inte att inget längre finns kvar.

**Hur vet jag hur länge webshellen har legat på servern?**  
Ledtrådar ger ändringsdatum, åtkomst- och felloggar samt jämförelser med andra nya filer. Tidsstämplar går dock att förfalska. Därför bedömer vi flera källor och markerar vad som är belagt och vad som är en gissning.

**Måste jag anmäla fyndet?**  
Så snart personuppgifter kan ha påverkats kan en anmälan till tillsynsmyndigheten vara nödvändig. Om det ger dataskyddsombud eller jurister råd; vi levererar de tekniska fakta.

## Källor

- [BSI: Tysklands federala myndighet för informationssäkerhet](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR art. 33: anmälan till tillsynsmyndigheten](https://dsgvo-gesetz.de/art-33-dsgvo/)