# PHP2Shell viie minutiga: ülevaade juhtkonnale

> PHP2Shell viie minutiga: olukord, äririsk ettevõttele, viis küsimust oma IT-le ja otsused, mida juhtkond peaks täna langetama.

Allikas: https://phpsos.de/et/blog/php2shell-briefing-geschaeftsfuehrung/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** PHP turvaauk PHP2Shell koosneb kahest kriitilisest veast PHP-s, mis on enamiku veebisaitide ja veebipoodide alus. Ründajad saavad selle kaudu ilma paroolita veebiserverites kahjulikku koodi käivitada. BSI (Saksamaa föderaalne infoturbeamet) hoiatab tasemega oranž ja soovitab: uuendage kohe, muidu võtke mõjutatud serverid ajutiselt võrgust maha. Juhtkonna jaoks tähendab see täna: selgitada vastutus, nõuda uuendust ja tõendit, otsustada väljalülitamise üle ning kõike dokumenteerida.

## Olukord kolmes lauses

21. oktoobril 2026 avaldas PHP projekt uuendused kahele kriitilisele turvaaugule, mis on tuntud nime all PHP2Shell. Mõjutatud on PHP ise, mitte kindel toode, seega potentsiaalselt iga veebisait, pood ja portaal, mis PHP-ga töötab. BSI on kuulutanud välja hoiatustaseme 3 / oranž, turvafirmad teatavad rünnakukatsetest, kinnitatud edukaid laiaulatuslikke rünnakuid ei olnud BSI andmetel alguses teada.

Ametiasutused, nagu BKA (Saksamaa föderaalne kriminaalpolitseiamet), ja mitu linna on meediaaruannete kohaselt oma veebisaidid ennetavalt välja lülitanud. See oli ettevaatus, mitte rünnaku märk.

## Mida PHP turvaauk juhtkonnale ja ettevõttele tähendab

Küsimus ei ole selles, kas te PHP-d kasutate. Peaaegu iga ettevõte teeb seda kuskil: veebisait, pood, kandidaadiportaal, kliendiala, intranet, päringute süsteem, agentuuri mikrosait. Küsimus on selles, kas need süsteemid on ajakohased ja kes selle eest vastutab.

Kui rünnak õnnestub, võib ründaja halvimal juhul serveri üle võtta. Võimalikud tagajärjed on andmete väljavool, manipuleeritud sisu, suunamised pettuslehtedele, poe väljalangemine või serveri kuritarvitamine edasisteks rünnakuteks. Kui isikuandmed võivad olla mõjutatud, lisanduvad teavitamiskohustused; IKÜM (isikuandmete kaitse üldmäärus, GDPR) art 33 järgi on tähtaeg tavaliselt 72 tundi. Üksikasjad seisavad lehel [IKÜM teavitamiskohustus](https://phpsos.de/et/compliance/dsgvo-meldepflicht-72-stunden/). See ei ole õigusnõustamine.

Millised kulud hädaolukorras tavaliselt tekivad, hindab artikkel [Häkkimise kuluread](https://phpsos.de/et/blog/kostenposten-eines-hacks/).

### Kus PHP-d ettevõtetes sageli märkamata jäetakse

Põhiveebisaiti jälgib enamik. Märkamata jäävad pigem äärealad: välise pakkuja kandidaadiportaal, varasema kampaania sihtleht, edasimüüjate partneriala, klienditoe päringute süsteem, oma serveris asuv failipilv või võrgusalvestuse veebiliides. Ka agentuuride testsüsteemid on sageli avalikult kättesaadavad ja töötavad samas serveris kui päris veebisait.

Juhtkonna jaoks on õppetund lihtne: küsimus IT-le ei ole „Kas meie veebisait on paigatud?“, vaid „Kas kõik meie PHP-ga süsteemid on paigatud, ka teenusepakkujate omad?“. Erinevus nende kahe küsimuse vahel on sageli just see koht, kus rünnak õnnestub.

### Mis olukord ei ole

Sama oluline on hinnang allapoole. PHP2Shell ei ole põhjus aktsionismiks, mis häirib tööd rohkem kui vaja. Kes on tõendatult paiganud, kõik PHP protsessid uuesti käivitanud ja kontrollil kõrvalekaldeid ei leia, võib naasta tavapärase töö juurde. Ajutine väljalülitamine on võimalus selgitamata juhtumite jaoks, mitte kohustus kõigile.

## Viis küsimust teie IT-le või teenusepakkujale

Neid küsimusi saate esitada täna. Vastused peaksid tulema kirjalikult.

1. **Millised meie süsteemid töötavad PHP-ga?** Loend aadressi, otstarbe ja käitajaga.
2. **Kas iga süsteem on paigatud?** Parandatud versioon 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või pakkuja kinnitatud backport.
3. **Kas kõik PHP protsessid on uuesti käivitatud?** Ilma taaskäivituseta uuendus ei mõju.
4. **Mis saab PHP 8.1 või vanema süsteemidest?** Nende jaoks ametlikke uuendusi ei ole. Milline on plaan?
5. **Kas on kontrollitud, kas enne uuendust midagi juhtus?** Logid alates 20. oktoobrist kindlustatud, jäljed otsitud?

Kui teie veebisait asub veebimajutajal, aitab ametlik päring. Malli pakub juhend [Veebimajutaja PHP uuenduse kinnituse nõudmine](https://phpsos.de/et/ratgeber/hoster-patch-status-erfragen/).

## Otsused, mis peaksid täna langema

| Otsus | Võimalused | Alus |
|---|---|---|
| Kes juhib? | üks vastutav isik sees, väline partner | vastutus peab olema üheselt selge |
| Paigamata süsteemid | paigata kohe, ajutised meetmed, ajutiselt välja lülitada | BSI soovitus, andmeolukord, käibe olulisus |
| Jälgede kontroll | sisemine, väline, ainult kõrvalekallete korral | serveris olevate andmete kaitsetarve |
| Suhtlus | sisemiselt teavitada, kliente ette valmistada, oodata | olukord pärast kontrolli |
| Vanad süsteemid | planeerida migreerimine, isoleerida, välja lülitada | PHP 8.1 ja vanemad ilma ametlike uuendusteta |

> **Oluline:**
> Pange kirja, kes mida millal otsustas ja millise teabe alusel. Piisab lühikesest kuupäevastatud märkusest. See on tagantjärele kindlustajate, klientide või järelevalveasutuste ees sageli väärtuslikum kui iga hilisem selgitus.

Miks see dokumenteerimine juhtkonnale oluline on, selgitab leht [Juhtkonna vastutus IT-turvaaukude korral](https://phpsos.de/et/compliance/geschaeftsfuehrer-haftung/). See on üldine teave, mitte õigusnõustamine.

## Mida te uskuma ei peaks

Kolme väidet kuulevad juhid praegu sageli ja kõik kolm on valed:

- **„Me uuendasime WordPressi, seega oleme kindlad.“** Turvaauk on PHP-s, mitte CMS-is. CMS-i uuendus seda ei sulge.
- **„Me oleme liiga väikesed, meid ei ründa keegi.“** Rünnakud käivad automatiseeritult. Otsitakse haavatavaid servereid, mitte tuntud nimesid.
- **„Uuendus on peal, seega on teema lahendatud.“** Paik ei eemalda pahavara, mis enne sisse toodi, ega tõenda, et midagi ei juhtunud.

## Kuidas PHP SOS konkreetselt aitab?

- **Olukorrapilt juhtkonnale:** Koostame lühikese ülevaate teie PHP süsteemidest koos staatuse ja soovitusega iga süsteemi kohta.
- **Elluviimine:** Paigame, käivitame uuesti või seame ajutised meetmed, kus uuendus ei ole veel võimalik.
- **Kontroll:** Kindlustame logid ja kontrollime rünnaku jälgi.
- **Tõend:** Saate dokumentatsiooni, mida saate kasutada sees ja kolmandate isikute ees.

Käiku kirjeldab [PHP2Shelli kohene abi](https://phpsos.de/et/leistungen/php2shell-soforthilfe/).

## Kokkuvõte

PHP2Shell on tehniline turvaauk koos juhtimisülesandega. Tehnika teevad spetsialistid ära. Juhtkond hoolitseb selle eest, et keegi vastutaks, et viiele küsimusele vastataks ja et otsused tehakse teadlikult ning dokumenteeritakse. See mahub ühte hommikupoolikusse, kui sellega täna alustada.


## Korduma kippuvad küsimused

**Kas juhtkond peab PHP2Shelliga ise tegelema?**  
Tehnilise elluviimisega mitte, juhtimisega küll. Juhtkond peaks tagama, et vastutus on selge, BSI soovitus viiakse ellu ning otsused, näiteks ajutine väljalülitamine, tehakse teadlikult ja dokumenteeritakse.

**Kuidas ma turvaauku ühe lausega selgitan?**  
PHP-s, tarkvaras, millel töötab enamik veebisaite ja poode, on kaks kriitilist viga, mille kaudu võõrad saavad ilma paroolita serveris programme käivitada; uuendus on olemas ja see tuleb paigaldada.

**Mis maksab mittetegevus?**  
Seda ei saa üldiselt hinnata. Eduka rünnaku võimalikud tagajärjed on seisakuaeg, andmete väljavool, teavitamiskohustused, puhastamise ja forensika kulu ning klientide usalduse kaotus. Uuendus koos kontrolliga on tavaliselt märksa väiksem vaev.

**Kas piisab, kui veebimajutaja tegeleb?**  
Jagatud veebimajutuse puhul paigaldab uuenduse tavaliselt veebimajutaja. Laske see endale kirjalikult kinnitada, kaasa arvatud PHP protsesside taaskäivitus. Kas enne uuendust midagi juhtus, kinnitus ei vasta; selleks on vaja veebisaidi kontrolli.

## Allikad

- [BSI: Bundesamt für Sicherheit in der Informationstechnik (Saksamaa föderaalne infoturbeamet)](https://www.bsi.bund.de/)
- [php.net: turvateated](https://www.php.net/)
- [IKÜM art 33: teavitamine järelevalveasutusele](https://dsgvo-gesetz.de/art-33-dsgvo/)