Sjekk om serveren ble angrepet via php2shell
Oppdateringen fjerner ikke bakdører som ble lagt inn før den. Slik ser du etter skjulte PHP-filer, ukjente brukere og andre spor fra 20. oktober og utover.
- Du trenger
- FTP
- Oppdatert
En sikkerhetsoppdatering tetter hullet, men den fjerner ikke det en angriper rakk å legge igjen. Detaljene om php2shell lekket 20. oktober 2026, og PHP slapp fiksen dagen etter. Ble serveren angrepet før PHP ble oppdatert, kan det ligge en bakdør der som fortsatt virker. Sjekken under ser etter sporene, og du bør ta den selv om PHP nå er oppdatert. Hvordan du oppdaterer PHP, står i artikkelen om å oppdatere PHP etter php2shell.
Ta vare på loggene først
Tilgangsloggen og feilloggen viser hva som har skjedd på serveren, men mange hostingleverandører sletter dem etter noen dager. Last dem ned før du gjør noe annet, også før du deployer eller starter serveren på nytt. På webhotell ligger loggene i hostingpanelet, ofte under «Logger» eller «Statistikk». På egen server ligger de vanligvis i /var/log/apache2/ eller /var/log/nginx/.
Tilgangsloggen viser ikke innholdet i forespørslene, så selve angrepet ser du ikke der. Det du kan se, er det som skjer etterpå, for eksempel forespørsler til PHP-filer som ikke hører til nettsiden.
Se etter PHP-filer som ikke hører hjemme
En bakdør er som regel en liten PHP-fil som tar imot kommandoer. Angripere legger den gjerne et sted der den ikke vekker oppsikt.
- Åpne
wp-content/uploads. Der skal det bare ligge bilder og dokumenter, og en.php-fil der er nesten alltid skadelig. - Sorter filene i rotmappen og i
wp-contentpå endringsdato, og se etter filer som er endret etter 20. oktober. Vær ekstra oppmerksom på navn som ligner på WordPress-filer, somwp-confg.php. - Åpne
.htaccessog.user.inii rotmappen. Står detauto_prepend_fileellerauto_append_fileder, kjører PHP en bestemt fil ved hver forespørsel. Det er et vanlig sted å gjemme en bakdør. - Se i
wp-content/mu-plugins. Utvidelser der lastes automatisk og vises ikke i den vanlige listen over utvidelser.
Datoen en fil sist ble endret, kan forfalskes. En fil med gammel dato er derfor ikke nødvendigvis trygg, men en PHP-fil i opplastingsmappen er alltid mistenkelig.
Se etter nye brukere, oppgaver og nøkler
- Administratorer: Under Brukere i WordPress ser du etter administratorer du ikke kjenner.
- Planlagte oppgaver: På webhotell står cron-jobbene i hostingpanelet. På egen server viser
crontab -l -u www-dataog filene i/etc/cron.d/hva som kjører. - SSH-nøkler: Se etter nye linjer i
authorized_keysfor brukeren som kjører PHP, ofte/var/www/.ssh/authorized_keys, og for root. - Ressursbruk: En server som plutselig bruker mye CPU eller sender mye trafikk ut, kan være tatt i bruk til kryptoutvinning eller til angrep på andre.
Hvis du finner spor etter innbrudd
Har angriperen lagt inn en bakdør, har vedkommende kunnet kjøre kommandoer med samme rettigheter som PHP. Da holder det ikke å slette filen.
- Ta kopi av filene, databasen og loggene slik de er nå.
- Bytt alle passord og nøkler som ligger på serveren: databasepassordet i
wp-config.php, sikkerhetsnøklene (salts), API-nøkler til betaling, e-post og andre tjenester, og passordene til hostingpanelet, FTP og SSH. - Legg tilbake en sikkerhetskopi fra før 20. oktober, eller rydd opp grundig ved å installere WordPress, utvidelsene og temaet på nytt fra rene kopier.
- Har du egen server, er det tryggest å sette opp en ny server med oppdatert PHP og flytte siden dit. Angriperen kan ha endret ting utenfor nettsiden.
- Lagrer siden personopplysninger, kan innbruddet være et avvik du må melde til Datatilsynet. Fristen er 72 timer etter at du ble kjent med det.
Andre tegn, som spam i Google og omdirigeringer, står i artikkelen om tegn på at WordPress-siden er hacket.