# Blogi: PHP2Shell, serveri turvalisus ja hädaabi

> Blogi PHP2Shellist ja serveri turvalisusest: olukord, veebimajutus, tuvastamine, karastamine, turvaline arendus, juhtimine ja otsustusabi.

Allikas: https://phpsos.de/et/blog/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

Olukorra hinnang, juhendid administraatoritele ja otsustusabi juhtkonnale. Teemade kaupa sorteeritud, iga artikkel allikatega.

- [PHP2Shell: mis on tõendatud ja mis mitte](https://phpsos.de/et/blog/php2shell-was-belegt-ist/): PHP2Shelli faktikontroll: millised väited pärinevad esmaallikatest, millised meediaaruannetest ja millised väited ei pea paika.
- [Miks sai PHP turvaauk enne paika teatavaks](https://phpsos.de/et/blog/php-luecke-vorzeitig-bekannt/): Aruannete kohaselt said PHP2Shelli üksikasjad avalikuks enne embargo lõppu. Selgitame käiku ja seda, mida see tähendab teie paikamise planeerimisele.
- [Ametiasutused võtavad veebisaidid võrgust maha: mida ettevõtted sellest õpivad](https://phpsos.de/et/blog/behoerden-webseiten-offline/): Mainz, Hessen liidumaa valitsus ja BKA võtsid veebisaidid ennetavalt võrgust maha. Mida ettevõtted sellest oma otsuse jaoks õppida saavad.
- [BSI hoiatustase oranž: mida hinnang tähendab](https://phpsos.de/et/blog/bsi-warnstufe-orange-erklaert/): BSI hindab PHP2Shelli tasemele 3 / oranž. Mida skaala ütleb ja mida mitte ning kuidas ettevõtted hinnangu otsusteks tõlgivad.
- [Mida CERT-EU ja CERT-Bund PHP2Shelli kohta soovitavad](https://phpsos.de/et/blog/cert-eu-empfehlungen-php/): Ametlikud asutused on ühel meelel: paikage kohe, muidu isoleerige. Võrdleme soovitusi ja näitame, kuidas isoleerimine praktikas välja näeb.
- [Cloudflare'i kaitsereeglid PHP2Shelli vastu: mida need annavad ja mida mitte](https://phpsos.de/et/blog/cloudflare-waf-php2shell/): Cloudflare võttis kaitsereeglid PHP2Shelli vastu kasutusele vara. Miks see aitab, miks see PHP uuendust siiski ei asenda ja milliseid sätteid peaksite kontrollima.
- [22,6 miljonit avalikult kättesaadavat instantsi: arvude õige hindamine](https://phpsos.de/et/blog/exponierte-instanzen-einordnen/): Unit 42, CybelAngel ja teised nimetavad PHP2Shelli kohta väga erinevaid arve. Selgitame, mida loendati ja milline arv teie jaoks tegelikult loeb.
- [PHP2Shell viie minutiga: ülevaade juhtkonnale](https://phpsos.de/et/blog/php2shell-briefing-geschaeftsfuehrung/): PHP turvaauk PHP2Shell ühel leheküljel otsustajatele: olukord, risk, viis küsimust IT-le ja tänased otsused.
- [PHP turvaauk lihtsalt selgitatud](https://phpsos.de/et/blog/php-luecke-einfach-erklaert/): PHP2Shell mittetehnikutele: igapäevaste võrdluste, väikese sõnastiku ja kolme tüüpilise lähteolukorraga, mida veebisaidi käitajana tegema peaksite.
- [PHP2Shell: 15 veebimajutuse klientide küsimust](https://phpsos.de/et/blog/fragen-von-hosting-kunden/): Teie veebisait asub veebimajutajal ja soovite teada, mida PHP2Shelli puhul ise tegema peate? Siin on 15 sagedasemat küsimust lühivastustega.
- [Miks WordPressi uuendus PHP2Shelli vastu ei aita](https://phpsos.de/et/blog/warum-wordpress-update-nicht-hilft/): Paljud käitajad uuendasid pärast pealkirju WordPressi ja tunnevad end kindlalt. Miks see PHP2Shelli puhul tühja läheb ja mis selle asemel loeb.
- [PHP2Shell ja Log4Shell: mis on turvaaukudel ühist](https://phpsos.de/et/blog/php2shell-und-log4shell/): Paljud võrdlevad PHP2Shelli 2021. aasta Log4Shelliga. Mida võrdlus kannab, kus see lonkab ja millised toonased õppetunnid täna aitavad.
- [Massiskaneerimine paigamata PHP järele: nii käivad automatiseeritud rünnakud](https://phpsos.de/et/blog/automatisierte-massenscans/): Pärast PHP2Shelli otsivad ründajad internetist automatiseeritult haavatavaid servereid. Kuidas see käib, miks suurus rolli ei mängi ja mis kaitseb.
- [Paiga ja rünnaku vaheline ajaaken](https://phpsos.de/et/blog/zeitfenster-patch-angriff/): PHP2Shelli puhul oli rünnakukatseid juba enne paika. Selgitame ajaakna faase, kuidas oma akent mõõta ja kuidas seda lühendada.
- [Pärast PHP2Shelli: miks täiendavad teated on tõenäolised](https://phpsos.de/et/blog/weitere-php-meldungen/): PHP2Shell ei ole 21. oktoobri paigaga lõppenud. Miks järgnevad teated on oodata ja kuidas oma meeskonda selleks ette valmistada.
- [PHP2Shell: esimese nädala olukorrapilt](https://phpsos.de/et/blog/lagebild-erste-woche/): Nädal pärast esimest täheldatud rünnakukatset: seis paikade, ametiasutuste hoiatuste, rünnakute ja väljalülitamiste kohta, selgelt allikate järgi eraldatud.
- [Ohtlikud valenõuanded PHP2Shelli kohta, mis praegu levivad](https://phpsos.de/et/blog/gefaehrliche-falschtipps/): Küpsiste blokeerimine, veateadete peitmine, ainult CMS-i uuendamine: üheksa PHP2Shelli nõuannet, mis loovad vale kindlustunde, ja see, mis tegelikult loeb.
- [PHP versiooni muutmine veebimajutuse kliendialas](https://phpsos.de/et/blog/php-version-hosting-aendern/): Kuidas veebimajutaja kliendialas PHP versiooni ümber lülitada, millise versiooni valida ja mida enne ning pärast kontrollida.
- [Debian ja Ubuntu: kas minu PHP pakett on paigatud?](https://phpsos.de/et/blog/debian-ubuntu-paket-gepatcht/): Millised PHP paketid Debian ja Ubuntu on PHP2Shelli vastu parandanud, kuidas paigaldatud seisu täpselt võrrelda ja mille taha tõend ebaõnnestub.
- [RHEL, AlmaLinux ja Rocky Linux: PHP paiga kontroll](https://phpsos.de/et/blog/rhel-almalinux-rocky-php/): Mida Red Hat on PHP2Shelli kohta avaldanud, kuidas RHEL-is ja selle järeltuletistes paketiseisu tõendada ning miks pelgalt uuesti laadimisest ei piisa.
- [Hoidla sury.org: PHP paketid kolmandast allikast](https://phpsos.de/et/blog/sury-repository-php/): Paljud Debiani ja Ubuntu serverid hangivad PHP-d sury hoidlast. Mida see tähendab uuenduste, tõendite ja vanade PHP versioonide jaoks pärast PHP2Shelli.
- [Remi hoidla: PHP ajakohasena hoidmine RHEL-süsteemides](https://phpsos.de/et/blog/remi-repository-php/): Remi tarnib ajakohaseid PHP versioone RHEL-i perekonnale, moodulina või paralleelselt paigaldatavana. Nii kontrollite seisu pärast PHP2Shelli ja väldite unustatud harusid.
- [Miks php -v näitab pärast uuendust sama numbrit](https://phpsos.de/et/blog/php-v-zeigt-alte-nummer/): Uuendus läks läbi, kuid php -v teatab vana versiooni. Enamasti on see backport ja mitte viga. Nii eristate kahjutut päris probleemidest.
- [CVE-numbrite tõendamine paketi muudatuslogis](https://phpsos.de/et/blog/cve-im-changelog-nachweisen/): Kes peab PHP paiga tõendama juhtkonnale, auditeerijatele või kindlustajatele, vajab enamat kui versiooninumbrit. Nii saab muudatuslogi kirjest tõend.
- [Veebimajutaja vahetus pärast turvaintsidenti: mida jälgida?](https://phpsos.de/et/blog/hoster-wechseln-nach-vorfall/): Pärast intsidenti on soov uue veebimajutaja järele mõistetav. Et ründaja kaasa ei koliks, loevad järjekord ja valik.
- [Mitu PHP versiooni ühes serveris: paigake igaüks eraldi](https://phpsos.de/et/blog/mehrere-php-versionen-server/): Paljudes serverites töötavad kõrvuti kolm, neli või rohkem PHP paigaldust. Pärast PHP2Shelli tuleb iga üks leida, uuendada ja taaskäivitada.
- [Vanade PHP versioonide väljalülitamine majutuspaneelis](https://phpsos.de/et/blog/alte-php-versionen-abschalten/): PHP2Shell on hea põhjus vanadest PHP versioonidest lahti saada. Toimige kolmes etapis, et ükski veebisait ega cron-töö märkamatult ei katkeks.
- [Plesk: PHP-handlerite mõistmine (FPM, FastCGI, Apache moodul)](https://phpsos.de/et/blog/plesk-php-handler/): Millist PHP-handlerit Plesk veebisaidi jaoks kasutab, otsustab eraldatuse, seadistuse ja riski. Võrdlus PHP2Shelli silmas pidades.
- [CloudLinux ja alt-php: mida peaksid majutuskliendid teadma](https://phpsos.de/et/blog/cloudlinux-alt-php/): CloudLinuxi serverites töötavad veebisaidid sageli oma alt-php pakettidega. Iga selline versioon vajab oma paika ja selle saab paigaldada ainult serveri haldaja.
- [PHP NAS-is, tulemüürides ja seadmetes: unustatud süsteemid](https://phpsos.de/et/blog/php-auf-nas-und-appliances/): PHP-d ei kasuta ainult veebiserverid. Mõjutatud võivad olla ka NAS-süsteemid, tulemüürid ja veebiliidesega eriseadmed. Paigata saab seal enamasti ainult tootja, kättesaadavuse reguleerite ise.
- [PHP pilve- ja PaaS-pakkujatel: kes paikab käituskeskkonna?](https://phpsos.de/et/blog/paas-php-laufzeit/): Platvormiteenustel sõltub PHP paik töömudelist. Otsustav on käituskeskkond, mis tegelikult vastab, mitte kohalik keskkond ega rakenduse kood.
- [Ametlikud PHP Dockeri pildid: sildid, digestid ja uuesti ehitamine](https://phpsos.de/et/blog/offizielle-php-docker-images/): Ametliku PHP pildi silt on osuti, mis liigub ajaga uutele seisudele. Kes teab, mida tähendavad silt, variant ja digest, valib õige pildi ja saab paigatud seisu tõendada.
- [CI/CD: PHP piltide automaatne uuesti ehitamine](https://phpsos.de/et/blog/php-images-in-ci-neu-bauen/): Pilt aegub ka ilma koodimuudatuseta. Ajastatud ehituste, versioonikontrolli ja digesti järgi juurutusega jõuavad PHP paigad usaldusväärselt tootmisse.
- [Vanade PHP versioonide pikaajaline tugi: võimalused ja piirid](https://phpsos.de/et/blog/langzeitsupport-alte-php-versionen/): Kes ei saa PHP 8.1-lt või vanemalt kohe üle minna, leiab pikaajalist tuge distributsioonidelt, kolmandatelt pakkujatelt ja kommertsteenustelt. Mida need teed pakuvad, mida vajate kirjalikult ja kus on piirid.
- [PHP uuendamine Windowsis](https://phpsos.de/et/blog/php-unter-windows-aktualisieren/): Windowsis ei ole automaatset PHP uuendust. Kes valib õige variandi, kontrollib allalaadimist ja taaskäivitab kõik protsessid, viib PHP2Shelli paiga puhtalt igasse arvutisse.
- [Hoiatusmärk: veebiserver käivitab shelli](https://phpsos.de/et/blog/webserver-startet-shell/): Kui PHP-FPM-i või veebiserveri protsess käivitab shelli, on see üks tugevamaid sissemurdmise hoiatusmärke. Nii kontrollite protsessipuud, hindate erandeid ja jälgite mustrit püsivalt.
- [Kahtlaste protsesside leidmine Linuxi serverites](https://phpsos.de/et/blog/verdaechtige-prozesse-linux/): Kahjulikud protsessid maskeerivad end kahjutute nimedega, töötavad ajutistest kaustadest või kustutatud failidest. Mõne lugeva käsuga leiate kõrvalekalded ja hindate neid.
- [Peidetud cron-tööde tuvastamine tagauksena](https://phpsos.de/et/blog/cronjobs-als-hintertuer/): Ründajad kasutavad ajastatud ülesandeid, et pärast puhastamist tagasi tulla. Nii kontrollite crontabe, cron-katalooge, systemd taimereid ja at-ülesandeid täielikult ning tuvastate kahtlased kirjed.
- [Veebiserveris hiljuti muudetud failide leidmine](https://phpsos.de/et/blog/geaenderte-dateien-finden/): Pärast võimalikku sissemurdmist loeb, mis serveris on muutunud. Nii otsite ajaakna järgi, kasutate mtime'i ja ctime'i õigesti ning võrdlete pakettide, Giti ja varukoopiatega.
- [PHP-failid üleslaadimiskaustas: leiukohtade õige tõlgendamine](https://phpsos.de/et/blog/php-dateien-im-upload-ordner/): PHP-fail üleslaadimiskaustas on peaaegu alati häirekell, kuid mitte iga fail ei ole kahjulik kood. Nii hindate leidu jälgi hävitamata ja selgitate, kas keegi on seda kutsunud.
- [Hägustatud PHP-koodi tuvastamine](https://phpsos.de/et/blog/verschleierter-php-code/): Loetamatu PHP kood koos eval ja base64_decode'iga on klassikaline märk sissetoodud kahjulikust koodist. Milliseid mustreid otsida, kuidas neid ohutult leida ja millal hägustamine on legitiimne.
- [Serveri väljaminevate ühenduste kontroll](https://phpsos.de/et/blog/ausgehende-verbindungen-pruefen/): Veebiserver vastab eelkõige päringutele. Kui ta ise loob ühendusi tundmatutesse sihtkohtadesse, võib see tähendada ründajate juhtimist või andmevoolu. Nii kontrollite ja piirate väljaminevat liiklust.
- [Võõraste administraatorikontode leidmine CMS-is ja serveris](https://phpsos.de/et/blog/fremde-admin-konten-finden/): Tundmatu administraator on sageli kõige lihtsam tagauks. Nii otsite võõraid kontosid tasand tasandi haaval, ka neid, mida liides peidab.
- [Tundmatute SSH-võtmete leidmine ja eemaldamine](https://phpsos.de/et/blog/ssh-schluessel-pruefen/): Sissetoodud SSH-võti avab ründajatele ukse ka siis, kui kõik paroolid on muudetud. Nii leiate iga authorized_keys-faili ja kontrollite iga kirjet.
- [Krüptokaevur veebiserveris: tunnused ja tegutsemine](https://phpsos.de/et/blog/kryptominer-auf-dem-server/): Püsivalt täis CPU, ilma et külastajaid oleks rohkem: see võib olla krüptokaevur. Nii kontrollite koormust, leiate protsessi ja selle taaskäivitusmehhanismid ning tegutsete korrapäraselt.
- [Server saadab spämmi: põhjuste leidmine](https://phpsos.de/et/blog/server-verschickt-spam/): Kättetoimetamata kirjad, mustad nimekirjad, kaebused: kui oma server saadab spämmi, on selle taga enamasti skript või kaaperdatud postkast. Nii leiate allika.
- [SEO-rämps ja võõrad lehed Google'i indeksis](https://phpsos.de/et/blog/seo-spam-im-google-index/): Äkki edetabelis ravimite või margikaupade lehed teie domeeni all. Nii selgitate välja, kust SEO-rämps tuleb, ja saate selle indeksist taas välja.
- [Veebisait suunab külastajad võõrastele lehtedele](https://phpsos.de/et/blog/website-leitet-um/): Külastajad jõuavad loosimismängudesse või kahtlastesse poodidesse, kuid ise te midagi ei näe? Nii leiate kihi, kus ümbersuunamine peidus on, ja kõrvaldate selle.
- [Kindlustage tõendid enne serveri uuesti seadistamist](https://phpsos.de/et/blog/beweise-sichern-vor-neuinstallation/): Uuestiehitus kõrvaldab ründaja, kuid ka kõik jäljed. Kes investeerib enne tunni tõendite kindlustamisse, oskab hiljem öelda, mis juhtus.
- [Intsidendi ajajoone koostamine](https://phpsos.de/et/blog/zeitleiste-eines-vorfalls/): Millal ründaja tuli, mida ta tegi, millal see märgati? Korralik ajajoon vastab neile küsimustele ning on teavituste, kindlustuse ja aruande alus.
- [CMS-i tuumafailide võrdlemine originaaliga](https://phpsos.de/et/blog/cms-kerndateien-vergleichen/): Võrdlus puhta originaaliga näitab iga muudetud faili, sõltumata sellest, kas skanner seda tunneb. Nii ehitate võrdluse üles WordPressi, Composeri projektide ja süsteemipakettide jaoks.
- [Andmebaasi kontrollimine sissetoodud koodi suhtes](https://phpsos.de/et/blog/datenbank-auf-schadcode-pruefen/): Kes kontrollib ainult faile, jätab poole märkamata. Nii otsite andmebaasi sisust, sätetest, trigeritest ja kontodest sissetoodud koodi, lugevalt ja koopial.
- [Veebisaidi pahavaraskannerid: mida nad leiavad ja mida mitte](https://phpsos.de/et/blog/grenzen-von-malware-scannern/): Skanner ei teata midagi, seega on kõik korras? Mitte tingimata. Millised veebisaidi skannerite liigid on olemas, mida igaüks näeb ja mida põhimõtteliselt näha ei saa.
- [PHP-FPM poolide eraldamine veebisaitide kaupa](https://phpsos.de/et/blog/php-fpm-pools-isolieren/): Oma pool iga veebisaidi jaoks on algus, mitte lõpp. Nii kontrollite olemasolevaid poole ning karastate sokleid, laiendeid, olekulehti, ressursse ja logisid.
- [memory_limit õige seadistamine](https://phpsos.de/et/blog/memory-limit-richtig-setzen/): memory_limit piirab mälu PHP päringu kohta. Pärast PHP2Shelli soovitab php.net ajutiselt vastupidist. Mis kehtib tavatöös, üleminekul ja pärast uuendust.
- [post_max_size ja upload_max_filesize mõistlik piiramine](https://phpsos.de/et/blog/post-max-size-upload-limits/): Üleslaadimispiirid mõjuvad kolmes kohas: veebiserveris, PHP-s ja rakenduses. Nii seate väärtused kooskõlla, ka php.net'i PHP2Shelli üleminekuväärtustega.
- [session.upload_progress väljalülitamine: õigesti ja püsivalt](https://phpsos.de/et/blog/session-upload-progress-abschalten/): Abinõu CVE-2026-115560 vastu ja üks PHP2Shelli üleminekumeetmetest on kiiresti seatud. Et see püsiks, peab see olema õiges kohas, lukustatud ja pärast iga uuendust uuesti kontrollitud.
- [expose_php ja Server-päised: versiooniandmete peitmine](https://phpsos.de/et/blog/expose-php-versionsangaben/): PHP, Nginx ja Apache nimetavad oma versiooninumbrit vaikimisi igas vastuses. See ei kaitse rünnakute eest, kuid annab skanneritele mugava tabamusloendi. Nii lülitate selle välja ja säilitate ülevaate siiski.
- [display_errors off: veaväljundi väljalülitamine tootmiskeskkonnas](https://phpsos.de/et/blog/display-errors-produktion/): Nähtavad PHP veateated reedavad teid, andmebaasinimesid ja versioone. Nii lülitate need välja PHP-s, raamistikus ja veebiserveris, vigu silmist kaotamata.
- [php_admin_value: sätete kaitsmine ülekirjutamise eest](https://phpsos.de/et/blog/php-admin-value-sperren/): Turvasäte on vähe väärt, kui rakendus muudab selle ühe koodireaga tagasi. Käskudega php_admin_value ja php_admin_flag määrate väärtused PHP-FPM-ile ja Apache'ile siduvalt.
- [Mälupiiride seadmine systemd ja cgroup'idega](https://phpsos.de/et/blog/speichergrenzen-systemd-cgroups/): php.net soovitab PHP2Shelli üleminekumeetmena memory_limit=-1 ja PHP-st väljaspool asuvat mälupiiri. Nii seate selle piiri systemd ja cgroup'idega, ilma et üks töölisprotsess kogu teenuse kaasa tõmbaks.
- [Nginx PHP jaoks turvaliselt seadistamine](https://phpsos.de/et/blog/nginx-fuer-php-absichern/): Enamik PHP Nginx-seadistuste nõrkustest ei peitu Nginxis, vaid mõnes reas PHP-location'is. Nii seadistate üleandmise PHP-FPM-ile nii, et käivitatakse ainult soovitud skriptid.
- [Apache PHP jaoks turvaliselt seadistamine](https://phpsos.de/et/blog/apache-fuer-php-absichern/): Apache on paindlik ja just see teeb ta konfiguratsioonivigade suhtes haavatavaks. Nii ühendate PHP PHP-FPM-i kaudu, sulgete .htaccess'i tagauksena ja seate olulisemad põhisuvandid turvaliselt.
- [PHP käivitamise keelamine üleslaadimiskaustades](https://phpsos.de/et/blog/php-in-uploads-verbieten/): Veebishell vajab kahte asja: kausta, kuhu seda saab kirjutada, ja serverit, mis seda käivitab. Nii võtate talt teise, igas kirjutatavas kaustas, mitte ainult uploads'is.
- [Üleslaadimispäringute filtreerimine serveri serval: võimalused ja riskid](https://phpsos.de/et/blog/upload-anfragen-am-rand-filtern/): Erialaautorid pakuvad, et blokeerida proxys üleslaadimispäringud väljaspool tegelikke üleslaadimisteid, kuni PHP on paigatud. See võib aidata, kuid ka vorme ja tellimusi halvata. Nii toimite kontrollitult.
- [ModSecurity ja OWASP Core Rule Set'i kasutamine](https://phpsos.de/et/blog/modsecurity-owasp-crs/): Oma Web Application Firewall ModSecurity ja OWASP Core Rule Set'iga on tasuta ja võimas, kuid mitte iseenesest toimiv. Nii valite mootori, alustate tõrgeteta ja häälestate reeglid.
- [Fail2ban veebiserverite jaoks seadistamine](https://phpsos.de/et/blog/fail2ban-fuer-webserver/): Fail2ban blokeerib aadressid, mis logides korduvalt silma jäävad. Veebiserverite jaoks on kaasas valmis filtrid ja mõne reaga lisanduvad oma filtrid. Nii seadistate selle, ennast ega oma kliente välja lukustamata.
- [Veebiserveri tulemüür: avage ainult vajalikud pordid](https://phpsos.de/et/blog/firewall-fuer-webserver/): Veebiserver vajab väljapoole tavaliselt vaid kahte porti. Sellegipoolest kuulavad paljudes serverites internetis andmebaasid, PHP-FPM või haldusliidesed. Nii leiate avatud teenused ja sulgete, mida ei vajata.
- [Automaatsed turvauuendused Linuxi serverites](https://phpsos.de/et/blog/automatische-sicherheitsupdates/): Aruannete järgi tarnisid distributsioonid PHP tagasiportimisi osaliselt juba 21. oktoobril 2026, paikade päeval. Kes kasutab automaatseid turvauuendusi, sai need kiiresti serverisse. Et need ka mõjuksid, on vaja taaskäivitusi, kolmandate osapoolte allikaid ja kontrolli.
- [Vähima õiguse põhimõte: veebiserveri kasutaja õigused](https://phpsos.de/et/blog/rechte-des-webserver-benutzers/): Sissetoodud kood töötab veebiserveri kasutaja õigustega. See, mida see konto tohib, määrab, kui kaugele ründaja jõuab. Nii piirate shelli, sudo, croni, andmebaasi ja failisüsteemi vajalikuga.
- [Admin-alade varjamine IP, VPN-i või lisakaitsega](https://phpsos.de/et/blog/admin-bereiche-abschirmen/): Miks veebisaidi taustasüsteem ei pea olema kogu maailmale kättesaadav ja kuidas seda IP-lubamise, VPN-i või eelneva sisselogimisega varjate, ilma end ise välja lukustamata.
- [TLS-i ja HTTPS-i õige seadistamine](https://phpsos.de/et/blog/tls-https-richtig-konfigurieren/): Milliseid TLS-versioone ja šifrikomplekte peaks veebiserver täna pakkuma, millele soovitused tuginevad ning kuidas kontrollida Nginxi, Apache'it ja PHP väljaminevaid ühendusi.
- [CIS-võrdlusalused ja BSI moodulid veebiserveritele](https://phpsos.de/et/blog/cis-benchmarks-bsi-bausteine/): Millised kõvendusstandardid Linuxi veebiserveritele on olemas, kuidas CIS-võrdlusalused ja IT-Grundschutz moodulid erinevad ja kuidas neist saab kontrollitav nõue teie PHP-serveritele.
- [Paroolide turvaline salvestamine PHP-s: password_hash õigesti kasutada](https://phpsos.de/et/blog/passwoerter-in-php-speichern/): Kuidas arendajad salvestavad PHP-s paroole funktsioonidega password_hash ja password_verify, valivad sobiva meetodi ning asendavad vanad MD5- või SHA-1-räsid ilma kõigi kasutajate paroolide lähtestamiseta.
- [CSRF-kaitse PHP-rakendustes](https://phpsos.de/et/blog/csrf-schutz-php/): Kuidas arendajad hoiavad PHP-rakendustes ära Cross-Site Request Forgery: tokenid igale muutvale päringule, päritolu kontroll päises ja SameSite-küpsised lisakihina.
- [Sisendi valideerimine ja filtreerimine PHP-s funktsiooniga filter_var](https://phpsos.de/et/blog/eingaben-validieren-php/): Kuidas arendajad kontrollivad sisendit PHP-s funktsioonidega filter_var, filter_input_array ja lubatud väärtuste nimekirjadega, millised filtrid on vananenud ja miks valideerimine ei asenda Prepared Statements'e ega väljundi kodeerimist.
- [Command Injection'i vältimine PHP-s](https://phpsos.de/et/blog/command-injection-php/): Kuidas arendajad väldivad PHP-s Command Injection'i: süsteemikäskude asendamine PHP funktsioonidega, proc_open kasutamine ilma shellita, argumentide kontroll ja ohtlike kohtade leidmine olemasolevas koodis.
- [Server-Side Request Forgery (SSRF) vältimine PHP-s](https://phpsos.de/et/blog/ssrf-in-php/): Kuidas arendajad takistavad, et PHP-rakendus päriks võõraste nimel sisesüsteeme: lubatud väärtuste nimekirjad, protokollipiirang, lahendatud aadressi kontroll ja piirid võrgus.
- [XML External Entities (XXE) vältimine PHP-s](https://phpsos.de/et/blog/xxe-in-php/): Kuidas arendajad töötlevad XML-i PHP-s turvaliselt: libxml-i vaikekäitumine, riskantsed valikud nagu LIBXML_NOENT, kaitse Entity-Loaderi ja LIBXML_NO_XXE-ga ning tüüpilised peidetud XML-sisendid.
- [Type Juggling PHP-s: lõdvad võrdlused turvariskina](https://phpsos.de/et/blog/type-juggling-php/): Miks võivad lõdvad võrdlused märgiga == PHP-s viia turvaaukudeni, mida PHP 8.0 muutis ja kuidas kirjutada võrdlused sisselogimistes, tokenites ja õigustes töökindlaks.
- [Turvalised juhuarvud ja tokenid PHP-s funktsiooniga random_bytes](https://phpsos.de/et/blog/sichere-tokens-php/): Kuidas arendajad loovad PHP-s tokeneid parooli lähtestamise linkide, API-võtmete ja ühekordsete koodide jaoks: krüptograafiliselt turvalised allikad, piisav pikkus, salvestamine räsina ja piiratud kehtivus.
- [Ligipääsuandmete ja .env-failide õige kaitsmine](https://phpsos.de/et/blog/env-dateien-schuetzen/): Kuidas kaitsta PHP-projektides andmebaasiparoole, API-võtmeid ja muid saladusi: .env-failid väljaspool veebijuurkataloogi, blokeeringud veebiserveris, kitsad õigused ja korrapärane vahetus pärast intsidenti.
- [Avalik .git-kaust: alahinnatud andmeleke](https://phpsos.de/et/blog/git-ordner-oeffentlich/): Miks võib Giti kaudu välja veeretatud veebijuurkataloog avalikustada kogu lähtekoodi koos ajalooga, kuidas seda kontrollida, kohe blokeerida ja juurutus püsivalt ilma .git-kaustata üles ehitada.
- [Varundusfailid veebijuurkataloogis: .zip, .sql ja .bak](https://phpsos.de/et/blog/backup-dateien-im-webroot/): Miks andmebaasitõmmised, arhiivid ja varukoopiad avalikus kataloogis kuuluvad sagedaseimate andmelekete hulka, kuidas neid leida, blokeerida ja selgitada, kas neid on päritud.
- [phpinfo()-failid: miks need peavad kaduma](https://phpsos.de/et/blog/phpinfo-dateien-entfernen/): Pärast PHP2Shelli loovad paljud administraatorid kiiresti faili info.php. Miks sellised failid on andmeleke, kuidas neid leida ja millised kontrollteed on paremad.
- [Sõltuvuste ajakohasena hoidmine: Composer, npm ja pistikprogrammid](https://phpsos.de/et/blog/abhaengigkeiten-aktuell-halten/): Projekt koosneb kolmest paketimaailmast: Composer, npm ja CMS-i pistikprogrammid. Kuidas hoiate kõiki kolme ajakohasena kindla rütmi, selge vastutuse ja testidega.
- [Turvalisuse koodiülevaatus PHP-projektidele](https://phpsos.de/et/blog/sicherheits-code-review-php/): Kuidas meeskonnad vaatavad oma PHP-koodi sihipäraselt turvaaukude suhtes läbi: ülevaatuste liigid, kriitilised funktsioonid, mõistlikud tööriistad ja kontrollnimekiri.
- [Turvaline logimine: vigade protokollimine ilma andmelekketa](https://phpsos.de/et/blog/sicher-loggen-php/): Logid aitavad vigade otsimisel ja kriminalistikas, kuid muutuvad kiiresti ise andmelekkeks. Mida PHP-rakendused peaksid logima, mida mitte kunagi ja kuidas logisid kaitsta.
- [REST-API-de kaitsmine PHP-s](https://phpsos.de/et/blog/rest-api-php-absichern/): Liidesed on sageli halvemini kaitstud kui nende ees olev veebisait. Olulisimad reeglid REST-API-dele PHP-s, alates objektiõigusest kuni päringute piiramiseni.
- [IT-teenusepakkujate lepingud: turvakohustuste selge reguleerimine](https://phpsos.de/et/blog/dienstleistervertrag-sicherheit/): PHP2Shell näitas, kui sageli on ebaselge, kes peab paikama. Millised turvakohustused kuuluvad lepingutesse agentuuri, hostingupakkuja ja IT-teenusepakkujaga.
- [Volitatud töötlemine, kui teenusepakkujad serveritele ligi pääsevad](https://phpsos.de/et/blog/auftragsverarbeitung-serverzugriff/): Kes laseb väliseid isikuid klientide andmetega serveritesse, vajab enamasti volitatud töötleja lepingut (AVV). Mida IKÜM art 28 nõuab ja kuidas korraldate ligipääsud hädaolukorras andmekaitsele vastavalt.
- [Haavatavuste haldus keskmise suurusega ettevõttes](https://phpsos.de/et/blog/schwachstellenmanagement-mittelstand/): Ükski keskmise suurusega ettevõte ei jõua kõiki teateid kohe läbi töötada. Lihtne ring „registreerida, hinnata, otsustada, tõendada“ tagab, et oluline saab tehtud esimesena.
- [Teadke, mis töötab: kõigi veebisaitide ja serverite inventar](https://phpsos.de/et/blog/inventar-websites-server/): PHP2Shelli puhul ei kukkunud paljud läbi paigaga, vaid küsimusega, kus PHP üldse töötab. Nii koostate kõigi veebisaitide ja serverite inventari.
- [Paigahaldus protsessina, mitte tuletõrjena](https://phpsos.de/et/blog/patch-management-prozess/): Kes paigab ainult siis, kui põleb, kaotab hädaolukorras aega. Kuidas kindlate klasside, akende ja tõenditega paigahalduse protsess ühendab rutiini ja hädaolukorra.
- [Hädaolukorra kontaktid: kes tuleb millal teavitada?](https://phpsos.de/et/blog/notfallkontakte-liste/): Hädaolukorras loeb, keda kätte saab ja millal. Kuidas koostada IT-hädaolukorra kontaktide nimekiri, kus on käivitajad, asendajad ja andmed, mida iga kõne vajab.
- [Mida häkitud server maksab: kuluartiklid](https://phpsos.de/et/blog/kostenposten-eines-hacks/): Häkitud veebiserver põhjustab rohkem kulusid kui remont. Millised kuluartiklid tekivad ja kuidas põhjendada ennetuse eelarvet oma arvudega.
- [Klientide teavitamine pärast intsidenti](https://phpsos.de/et/blog/kunden-nach-vorfall-informieren/): Kohustus või vabatahtlik: kuidas otsustate pärast intsidenti, keda teavitada, millised kanalid on turvalised ja kuidas on teie klienditeenindus ette valmistatud.
- [Veebi tarneahel: agentuur, veebimajutaja, pistikprogrammide pakkuja](https://phpsos.de/et/blog/lieferkette-agentur-hoster/): PHP2Shell näitas, kui palju lülisid on paiga ja teie veebisaidi vahel. Kuidas tunda oma veebisaidi tarneahelat, seda kaitsta ja üksikute lülide katkestusi ära püüda.
- [Turvateadlikkus administraatoritele ja toimetajatele: security awareness veebimeeskonnas](https://phpsos.de/et/blog/sicherheitsbewusstsein-redaktion/): Kes veebisaite hooldab, otsustab iga päev turvalisuse üle, sageli ise märkamata. Nii koolitate administraatoreid ja toimetajaid rollipõhiselt ja ilma slaidivõitluseta.
- [Hädaolukorra harjutus laua taga: veebiserveri intsidendi läbimäng](https://phpsos.de/et/blog/notfalluebung-am-tisch/): Laua taga harjutus võtab ühe pärastlõuna ja näitab, kas teie hädaolukorra plaan kannab. Siin on valmis stsenaarium PHP veebiserveri intsidendiks.
- [ISO 27001 ja TISAX: mida veebiserverid puudutavad](https://phpsos.de/et/blog/iso-27001-tisax-webserver/): Kes käitab ISO 27001 järgset ISMS-i või omab TISAX-märgist, peab veebiservereid kaasa mõtlema. Siin on, milliseid nõudeid need puudutavad ja millised tõendid loevad pärast PHP2Shelli.
- [VdS 10000: infoturve väikestele ja keskmise suurusega ettevõtetele](https://phpsos.de/et/blog/vds-10000-kmu/): VdS 10000 on kerge raamistik keskmise suurusega ettevõtete infoturbeks. Mida see nõuab, mis tuli 2025. aastal uut ja mida see tähendab veebisaitide ja veebiserverite jaoks.
- [Lessons learned: pärast intsidenti paremaks saamine](https://phpsos.de/et/blog/lessons-learned-nach-vorfall/): Pärast intsidenti on enne järgmist. Struktureeritud järelarutelu ilma süüdistamiseta teeb halvast nädalast mõõdetava edasimineku.
- [Paikata, välja lülitada või oodata? Otsustusabi PHP turvaaugu korral](https://phpsos.de/et/blog/patchen-abschalten-abwarten/): Kriitilise PHP turvaaugu korral peavad vastutajad kiiresti otsustama. See abi järjestab kolm varianti, nimetab kriteeriumid ja näitab, millal ootamine on põhjendatav.
- [WAF või uuendus: miks vajate mõlemat](https://phpsos.de/et/blog/waf-oder-update/): Veebirakenduse tulemüür (WAF) võib rünnakuid tõrjuda, kuid ei sulge turvauku PHP interpretaatoris. Millal WAF aitab, kus see lõpeb ja kuidas mõlemat mõistlikult kombineerida.
- [Server uuesti üles seada või puhastada? Otsus pärast nakatumist](https://phpsos.de/et/blog/neu-aufsetzen-oder-bereinigen/): Pärast sissemurdmist on kaks teed: server puhastada või uuesti üles ehitada. Millised kriteeriumid otsustavad ja miks järjekord on olulisem kui valik.
- [Kõrvaldada ise või kutsuda teenusepakkuja? Aus kaalutlus](https://phpsos.de/et/blog/selbst-beheben-oder-dienstleister/): Mitte iga turvaolukord ei vaja välist abi. Nende kriteeriumide ja lühikese isetestiga otsustate, kas teie meeskond saab PHP2Shelliga ise hakkama või vajab tuge.
- [IT-turbeteenuse pakkuja valimine: 12 küsimust enne tellimust](https://phpsos.de/et/blog/sicherheitsdienstleister-auswaehlen/): Ajasurve all head turbeteenuse pakkujat leida on raske. Need kaksteist küsimust aitavad pakkumisi asjalikult võrrelda, reklaamilubadustele lõksu langemata.
- [Hallatav majutus või oma server? Turvalisuse võrdlus](https://phpsos.de/et/blog/managed-oder-eigener-server/): PHP2Shell oli iga tegevusmudeli stressitest. Võrdlus näitab, millal hallatav majutus on turvalisem, millal oma server ja millised vahevormid on end tõestanud.
- [PHP-uuendus või backport? Otsus vanasüsteemidele](https://phpsos.de/et/blog/php-upgrade-oder-backport/): Vanade PHP versioonide jaoks on pärast PHP2Shelli mitu teed: distributsiooni backport, kolmanda poole allikas, lähtekoodi paik, pikaajaline tugi või uuendus. Mida iga tee väärt on ja kui kaua see kannab.
- [CMS-i vahetus pärast häkkimist? Millal see aitab ja millal mitte](https://phpsos.de/et/blog/cms-wechsel-nach-hack/): Pärast sissemurdmist on usaldus CMS-i vastu sageli kadunud. Uus süsteem aga lahendab harva tegeliku põhjuse. Millal vahetus on mõistlik ja kuidas see puhtalt õnnestub.
- [Staatilised veebisaidid: vähem PHP-d, väiksem ründepind](https://phpsos.de/et/blog/statische-website-alternative/): Staatiline veebisait väljastab valmis HTML-faile ega vaja serveris PHP-d. See vähendab ründepinda märgatavalt, kuid toob kaasa omad piirid ja kohustused.
- [Pentest, Bug Bounty või haavatavuste skannimine? Sobiva kontrollimeetodi valimine](https://phpsos.de/et/blog/pentest-bugbounty-scan/): Skannimine, läbistustest ja Bug Bounty kontrollivad veebisaite täiesti erineval viisil. Mida iga meetod suudab, kus see ebaõnnestub ja milline järjekord sobib teie ettevõttele.