Modul 5 · 5.1
Uppdateringar och föråldrad programvara
Modul 5: Enheter, programvara och nätverk · Lästid: 10 minuter
Lärandemål: Efter den här lektionen kan du upprätta en uppdateringspolicy för operativsystem, appar, plugins, routrar och andra enheter, och förklara vad "slutet på support" betyder och vad du gör då.
Nyckelbegrepp: sårbarhet, patch, zero-day, automatiska uppdateringar, firmware, plugin, inventering, slutet på support (end of life), kantenhet (edge device)
En uppdatering är ett lås du sätter dit
Programvara innehåller fel. Vissa fel är bara jobbiga (en knapp som inte fungerar), andra är en sårbarhet: ett fel som gör att en angripare kan göra något som inte är meningen, som att logga in utan lösenord eller köra egen kod. Tillverkaren åtgärdar det med en patch, som når dig i form av en uppdatering.
Det lömska ligger i ordningen. Så snart en uppdatering släpps blir sårbarheten i praktiken offentlig. Angripare jämför den gamla och nya versionen, ser vad som har reparerats och bygger en attack utifrån det. Därefter skannar de automatiskt hela internet efter enheter som ännu inte har uppdateringen. Det är precis den opportunistiska attacken från lektion 1.1: de letar inte efter dig, de letar efter alla som ligger efter.
En zero-day är en sårbarhet som redan utnyttjas innan det finns en patch. Där kan du göra lite, förutom att följa tillverkarens råd och begränsa skadan (säkerhetskopior, minimala rättigheter). Men de allra flesta intrången hos småföretag sker via sårbarheter som uppdateringen redan fanns tillgänglig för.
Det tidigare nederländska Digital Trust Center, numera en del av det nederländska NCSC, såg 2024 i sin CyberVeilig Check att drygt en av tre småföretag (36 procent) inte hade automatiska uppdateringar aktiverat på alla sina internetanslutna enheter. Rådet från det nederländska NCSC är enkelt: vänta inte med att uppdatera, och aktivera automatiska uppdateringar där det går.
Vad har du egentligen? Inventeringen
Du kan inte uppdatera det du har glömt bort. De flesta företag tänker på bärbara datorer och telefoner när det gäller uppdateringar, men de farligaste enheterna är ofta de tysta:
| Typ | Exempel | Hur det oftast uppdateras |
|---|---|---|
| Datorer och telefoner | Windows, macOS, Linux, Android, iOS | Automatiskt, om du aktiverar det och inte skjuter upp omstarten i oändlighet |
| Program och appar | Webbläsare, kontorspaket, pdf-läsare, bokföringsapp | Ofta automatiskt; fristående program ibland inte |
| Webbplats | CMS, plugins, teman, PHP-version | Delvis automatiskt; plugins och teman ofta manuellt |
| Nätverksutrustning | Router, modem, wifi-punkter, brandvägg, VPN-server | Firmware, ofta manuellt eller via leverantören |
| Kantenheter | NAS, nätverksskrivare, IP-kamera, smart dörrklocka, larmsystem, kassasystem | Firmware, ofta manuellt, ibland aldrig |
| Molntjänster | E-post, bokföring, e-handelsplattform | Leverantören uppdaterar, du sköter inställningarna |
Enheter som är direkt anslutna till internet och nåbara utifrån (router, VPN-server, NAS med fjärråtkomst, kamera) kallar vi kantenheter (edge devices). De är oftast mål, eftersom en angripare kan nå dem utan att en medarbetare behöver klicka på något. Ett anonymiserat exempel: en revisionsbyrå hade en NAS med "åtkomst från var som helst" aktiverat. Tillverkaren släppte en säkerhetsuppdatering, byrån installerade den inte, och några veckor senare var alla filer på NAS:en krypterade. Ingen hade klickat på något.
En uppdateringspolicy i fem punkter
En policy behöver inte vara ett dokument på tio sidor. För ett litet företag fungerar följande punkter:
- Automatiskt där det går. Aktivera automatiska uppdateringar för operativsystem, webbläsare, appar, och där det är möjligt för CMS och plugins samt för firmware i router och NAS.
- Omstart hör till. Många uppdateringar fungerar först efter en omstart. Kom överens om att alla startar om minst en gång i veckan, och skjut inte upp en omstart i veckor.
- Kantenheter först. För enheter som är nåbara utifrån: kontrollera själv om det finns uppdateringar, till exempel en gång i månaden, och installera en säkerhetsuppdatering inom några dagar. Varnar tillverkaren eller det nederländska NCSC för aktivt missbruk, gör det samma dag.
- En ägare per enhet. I inventeringen anges per rad vem som uppdaterar den: du själv, en kollega, ditt IT-företag eller din webbyggare. Står det ingen där, är det ingen som gör det.
- Det som inte längre behövs, tas bort. En plugin du inte använder, en gammal bärbar dator i skåpet som fortfarande kommer åt nätverket, en testsajt på en subdomän: ta bort det, då slipper du uppdatera det också.
Tveksam om en uppdatering förstör något? Gör först en säkerhetskopia (modul 6) och uppdatera sedan. Att inte installera en uppdatering av rädsla för problem är nästan alltid den större risken.
Slutet på support: när det inte längre kommer uppdateringar
Varje version av programvara eller firmware har ett slutdatum. Efter det släpper tillverkaren inte längre säkerhetsuppdateringar. Det kallas slutet på support (end of life, EOL). Enheten fungerar fortfarande som vanligt, och det är just det lömska: ingen märker något, medan varje ny sårbarhet förblir öppen för alltid.
Exempel:
- Windows 10. Den ordinarie supporten upphörde den 14 oktober 2025. Därefter kommer endast säkerhetsuppdateringar via Microsofts ESU-program, med slutdatum som varierar beroende på situation. Kolla på Microsofts webbplats vad som gäller för dina enheter, och planera övergången till en version eller enhet som fortfarande har support.
- PHP och andra webbspråk. Varje PHP-version får säkerhetsuppdateringar i några år. Kör din webbplats på en gammal version kan servern vara säker, men din webbplats inte.
- Routrar, NAS och kameror. Billiga enheter får ibland bara några års firmware-uppdateringar, ibland aldrig. Det nederländska NCSC rekommenderar att du innan köp tar reda på hur länge tillverkaren stöder enheten, och att du byter ut enheter som inte längre får uppdateringar.
- Plugins och teman. En plugin vars utvecklare har slutat få inte längre några fixar. Hitta en ersättare.
Kan du inte byta ut något direkt, begränsa då risken: koppla bort det från internet, placera det i ett separat nätverk (lektion 5.3), och ge det ingen åtkomst till viktiga uppgifter.
Säker uppdatering: bara via den officiella vägen
Angripare missbrukar också ordet "uppdatering". En popup på en webbplats "Din webbläsare är föråldrad, ladda ner uppdateringen här" eller ett mejl "installera säkerhetsuppdateringen i bilagan" är nästan alltid skadlig kod. Riktiga uppdateringar kommer via operativsystemet, appbutiken, uppdateringsfunktionen i programmet självt eller tillverkarens webbplats. Aldrig via en länk i ett mejl eller en popup på en godtycklig sajt.
I praktiken: så här ser det ut
Med ett webbhotellpaket med DirectAdmin, som hos WebOké, väljer du PHP-versionen för din webbplats via Select PHP version. Vill du göra en säkerhetskopia innan du uppdaterar din webbplats eller dina plugins, kan du göra det till exempel i Installatron med knappen Back-up, varefter du vid problem kan återställa den tidigare versionen. Hos andra leverantörer fungerar det på liknande sätt: leta efter "PHP-version" och efter säkerhetskopierings- eller stagingfunktionen i ditt CMS.
För datorer och telefoner finns uppdateringsfunktionen i operativsystemets inställningar. För din router kollar du i administrationssidan (adressen står i manualen eller på routerns dekal) eller i din leverantörs app.
Sammanfattning
- En uppdatering täpper till en känd sårbarhet; efter att den släppts skannar angripare internet efter de som ligger efter.
- Gör en inventering, även av router, NAS, skrivare, kameror, webbplats och plugins, med en ägare per rad.
- Uppdatera automatiskt där det går, omstart hör till, kantenheter först och snabbt.
- Slutet på support betyder: inga fler säkerhetsuppdateringar. Byt ut, eller koppla bort och isolera.
- Uppdateringar bara via den officiella vägen, aldrig via en popup eller ett mejl.
Quiz
Uppgift
Uppgift D5.1: Din uppdateringsinventering. Gör en lista över alla dina enheter och program, inklusive router, NAS, skrivare, kameror, webbplats och plugins. Notera per rad versionen, om automatiska uppdateringar är aktiverade, vem som är ägare och om det fortfarande får support. Uppdatera det som ligger efter och svara på reflektionsfrågorna.
Uppgift D5.1: Din uppdateringsinventering
Så här gör du: (1) Gör en tabell med kolumnerna: enhet eller programvara, typ (dator, telefon, program, webbplats, nätverk, kringutrustning, molntjänst), version, automatiska uppdateringar (ja/nej/kan inte), ägare (vem arbetar med den), stöds fortfarande (ja/nej/okänt), nåbar utifrån (ja/nej). En mall att ladda ner (csv eller kalkylblad) finns vid uppgiften. (2) Gå igenom ditt kontor och dina hemarbetsplatser. Glöm inte: router och modem, wifi-punkter, NAS, nätverksskrivare, IP-kameror, smart dörrklocka eller larm, kassasystem, den gamla bärbara datorn i skåpet, din webbplats med CMS, plugins och teman, PHP-versionen i ditt webbhotellpaket. (3) Slå upp för varje enhet på tillverkarens webbplats hur länge den får uppdateringar. För Windows 10: kolla på Microsofts livscykelsida vad som gäller för dina enheter. (4) Aktivera automatiska uppdateringar där det går. Installera utestående uppdateringar, kringutrustning först. Starta sedan om. (5) Markera allt som inte längre får uppdateringar och bestäm per rad: byt ut (med datum), koppla bort från internet, eller eget nätverk (lektion 5.3).
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i WebOké-artiklarna gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.
- DirectAdmin-guide 14.1: PHP-versionen välja (Select PHP version)
- DirectAdmin-guide 13.6: Göra och återställa backuper i Installatron
- Nederländska NCSC, En av tre småföretag saknar automatiska uppdateringar (nederländsk källa): https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
- Nederländska NCSC, Upprätta patchhantering (nederländsk källa): https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
- Nederländska NCSC, Grundläggande säkerhetsåtgärder för smarta enheter (nederländsk källa): https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Microsoft, livscykel för Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro