# Paikata, välja lülitada või oodata? Otsustusabi PHP turvaaugu korral

> Kas veebisait PHP turvaaugu tõttu võrgust maha võtta? Otsustusabi paikamise, väljalülitamise ja ootamise vahel, kriteeriumide ja ausate piiridega.

Allikas: https://phpsos.de/et/blog/patchen-abschalten-abwarten/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** Kas peaksite veebisaidi PHP turvaaugu tõttu võrgust maha võtma, sõltub ühest küsimusest: kas PHP töötab sellel serveril tõendatult parandatud seisus ja kas kõik protsessid on taaskäivitatud? Kui jah, ei ole väljalülitamine vajalik. Kui uuendus ei ole kohe võimalik, soovitab BSI (Saksamaa föderaalne infoturbeamet) veebiserveri ajutiselt võrgust maha võtta. Ootamine on põhjendatav ainult siis, kui süsteem PHP-d ei kasuta, ei ole avalikult ligipääsetav või pakkuja on paiga kirjalikult kinnitanud.

## Olukord, milles peate otsustama

PHP2Shell hõlmab kahte turvaauku PHP-s endas, CVE-2026-109618 ja CVE-2026-109619, mõlemad hinnatud CVSS v4.0 väärtusega 9,2. Need võimaldavad kahjuliku koodi kaugkäivitamist ilma sisselogimiseta. Parandatud versioonid on saadaval alates 21.10.2026: 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemale ametlikke uuendusi enam ei ole.

BSI on andnud hoiatustaseme oranž ja soovitab kohest uuendust, asendusena ajutist väljalülitamist. Meediaaruannete kohaselt lülitasid Mainzi linn, Hesseni liidumaavalitsuse asutused ja muud avalikud asutused veebisaidid ennetavalt võrgust välja; Hesseni riigikantselei ei teatanud rünnakust. Mida ettevõtted sellest järeldada saavad, selgitab artikkel [Ametiasutused võtavad veebisaidid võrgust maha](https://phpsos.de/et/blog/behoerden-webseiten-offline/).

Ettevõtete vastutajate jaoks on küsimus praktilisem: mida teeme täna oma poe, portaali, ettevõtte veebisaidiga?

## Veebisait võrgust maha, paikamine või ootamine: kolm varianti võrdluses

Allolev tabel seab variandid kõrvuti. See ei asenda teie üksikjuhtumi hindamist, kuid teeb kaalutluse nähtavaks.

| Kriteerium | Kohe paikata | Ajutiselt välja lülitada | Oodata |
|---|---|---|---|
| Kaitse PHP2Shelli eest | Kõrge, kui paik ja taaskäivitus on tõendatud | Kõrge väljalülitamise ajaks | Puudub, kuni paigata |
| Tegevuse katkemine | Lühike, uuenduse ja taaskäivituse jaoks | Tunnid kuni päevad | Puudub |
| Eeldus | Toetatud PHP versioon, ligipääs, hooldusaken | Juhtkonna otsus, staatiline asendusleht | Tõendatud põhjus, miks risk puudub |
| Vaev | Väike kuni keskmine | Tehniliselt väike, organisatoorselt suur | Väike, kuid tõendi kontrollimise vaev |
| Tüüpiline juhtum | Server PHP 8.2 kuni 8.5 | Vanasüsteem PHP 8.1 või vanemaga, ebaselge seis | Süsteem ilma PHP-ta või ainult sisemiselt ligipääsetav |
| Jääkrisk | Varasem sissemurdmine jääb võimalikuks | Varasem sissemurdmine jääb võimalikuks | Täielikult alles |

Üks rida väärib tähelepanu: ei paik ega väljalülitamine selgita, kas enne on juba midagi juhtunud. Meediaaruannete kohaselt toimus esimene täheldatud rünnakukatse 17.10.2026, see tähendab enne paika. Pilk võimalikele jälgedele kuulub seetõttu iga variandi juurde.

## Viie küsimusega otsuseni

Töötage küsimused järjest läbi. Esimene selge vastus viib tavaliselt otsuseni.

1. **Kas süsteemis üldse töötab PHP ja kas see on internetist ligipääsetav?** Kui ei, ei ole süsteem PHP2Shelli poolt otseselt mõjutatud. Dokumenteerige, kuidas selle kindlaks tegite.
2. **Kas paigaseis on tõendatud?** Tõendatud tähendab: parandatud versioon või tagasiportimine (backport) CVE-numbritega paketi muudatuslogis ja kõigi PHP protsesside taaskäivitus. Versiooni kuvamisest paneelis ei piisa. Kuidas seda kontrollida, selgitab artikkel [PHP versiooni ja paigaseisu õige kontroll](https://phpsos.de/et/php2shell/php-version-pruefen/).
3. **Kas uuenduse saab paigaldada järgmiste tundide jooksul?** Kui jah: paikada, taaskäivitada, kontrollida. Seni võivad aidata üleminekumeetmed.
4. **Kas see ei ole võimalik, näiteks PHP 8.1 või puuduva ligipääsu tõttu?** Siis on BSI järgi tee ajutine väljalülitamine. php.net-i üleminekumeetmed vähendavad riski, kuid ei kaitse täielikult; üksikasjad leiate artiklist [Kiirmeetmed, kui te ei saa veel paikata](https://phpsos.de/et/php2shell/sofortmassnahmen-ohne-patch/).
5. **Kas on kompromiteerimise tunnuseid?** Siis ei ole küsimus enam „paikata või välja lülitada“, vaid „käsitleda intsidenti“. Välja lülitada, kindlustada tõendid, mitte kustutada enneaegselt.

## Kui lülitate välja: lülitage välja õigesti

Väljalülitamine peab ründepinna eemaldama, mitte ainult avalehe peitma. Hooldusleht, mida luuakse edasi PHP-ga, seda eesmärki ei täida. Parem on staatiline HTML-leht, mille veebiserver väljastab ilma PHP-ta, või ümbersuunamine teisele serverile.

Mõelge kõigele, mis sõltub samast PHP-st: alamlehed, liidesed rakendustele või kaubahaldusele, administraatoriala, maksete tagasikutsed. Rääkige poe mõjutatuse korral eelnevalt maksete pakkuja ja logistikaga. Ja teavitage töötajaid ning kliente selgete sõnadega: leht on ennetavalt võrgust väljas, kontakt käib telefoni ja e-posti teel. See on parem kui vaikimine, mis toidab spekulatsioone.

Oluline on ka väljalülitamise lõpp. Määrake kindlaks, millise tingimuse korral leht taas võrku läheb, näiteks „PHP parandatud seisus, taaskäivitus kontrollitud, esimene jälgede kontroll ilma leiuta“. Nii saab hädapiduri asemel korrapärane kulg.

> **Oluline:**
> Väljalülitamine ei ole kaotus. Mitu avalikku asutust tegi meediaaruannete kohaselt täpselt seda, ilma et rünnak oleks toimunud. Ennetav väljalülitamine ei tähenda automaatselt, et veebisait on häkitud.

## Millal te teenusepakkujat ei vaja

Mitte iga otsus ei nõua välist abi. Kui teie veebisait asub veebimajutaja juures, kes kinnitab paigaseisu ja taaskäivituse kirjalikult, ja kõrvalekaldeid ei ole, olete lühikese dokumentatsiooniga hästi kaetud. Sama kehtib, kui teie enda IT saab toetatud PHP versiooniga serveri ise paigata ja valdab kontrolli.

Abi tasub, kui töötavad süsteemid vana PHP versiooniga, seis on ebaselge, mitu serverit on mõjutatud või esineb sissemurdmise tunnuseid.

## Kuidas PHP SOS konkreetselt aitab?

1. Selgitame koos teiega lühikese ajaga, millised süsteemid on mõjutatud ja milline paigaseis on tõendatud.
2. Anname juhtkonnale otsuse aluse ühel lehel: variandid, riskid, soovitatav tee.
3. Viime valitud tee ellu, see tähendab paiga koos taaskäivitusega, üleminekumeetmed või korraliku väljalülitamise staatilise asenduslehega, osana meie [PHP2Shelli kiirabist](https://phpsos.de/et/leistungen/php2shell-soforthilfe/).
4. Kontrollime jälgi alates 17.10.2026 ja dokumenteerime tulemuse.

## Kokkuvõte

Paikamine on tavaline, väljalülitamine õige hädapidur, ootamine põhjendatav ainult tõendiga. Kes vastab viiele küsimusele ausalt ja fikseerib otsuse kirjalikult, tegutseb BSI soovituse vaimus ja saab hiljem näidata, miks.


## Korduma kippuvad küsimused

**Kas pean oma veebisaidi PHP2Shelli tõttu võrgust maha võtma?**  
Ei, kui PHP töötab juba parandatud seisus ja kõik protsessid on taaskäivitatud. BSI soovitab ajutist väljalülitamist juhuks, kui kohene uuendus ei ole võimalik.

**Mis maksab väljalülitamine rohkem: käive või risk?**  
Seda saab vastata ainult üksikjuhtumi põhjal. Mõnetunnine katkestus on enamasti paremini planeeritav kui sissemurdmine, mille tagajärgi ja kestust keegi ei tea. Fikseerige kaalutlus kirjalikult, sõltumata sellest, kuidas see lõpeb.

**Kas hooldusleht tohib töötada sama serveri kaudu?**  
Jah, kui see väljastatakse staatilise failina ilma PHP-ta. Kui hooldusleht luuakse edasi PHP-ga, jääb ründepind alles.

**Kas ootamine on kunagi õige valik?**  
Jah, selgelt piiritletud juhtudel: kui süsteemis ei tööta PHP-d, kui see ei ole internetist ligipääsetav või kui pakkuja on paiga ja taaskäivituse kirjalikult kinnitanud. Ootamine ilma selliste tõenditeta ei ole valik, vaid risk.

**Kes peaks otsuse tegema?**  
Isik, kes vastutab ärirsiski eest, tavaliselt juhtkond või omanik. IT annab faktid. Kes otsustab, peaks olema eelnevalt hädaolukorra plaanis kirjas.

## Allikad

- [BSI: hoiatus PHP2Shelli kohta (Saksamaa föderaalne infoturbeamet)](https://www.bsi.bund.de/)
- [php.net: turvateated](https://www.php.net/)
- [hessenschau: ametiasutuste veebisaidid Hessenis välja lülitatud](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [ZDFheute: turvaauk PHP-s](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)