Lühidalt: PHP2Shell on kaks kriitilist turvaauku PHP-s endas, mille kaudu saavad ründajad käivitada kahjulikku koodi ilma sisselogimata. Kui vajate selle PHP turvaaugu korral kiiresti abi, võtame kaugtööna enda peale inventuuri, paikamise või ajutise meetme, kõigi PHP protsesside taaskäivituse ja esmase jälgede otsimise. Lõpuks saate seisu kohta kirjaliku tõendi.
Abi PHP turvaaugu korral: miks tuleb nüüd tegutseda
21.10.2026 kell 16 Saksamaa aja järgi avaldas PHP projekt paigad turvaaukudele CVE-2026-109618 ja CVE-2026-109619. Mõlemad turvaaugud on CVSS v4.0 järgi hinnatud 9,2 ja lubavad kahjuliku koodi kaugkäivitust, ilma et keegi peaks sisse logima. Mõjutatud on tavalised töörežiimid: PHP-FPM, Apache koos mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed.
BSI andis välja hoiatustaseme 3 (oranž). See soovitab kohest uuendust ja, kui see kohe ei õnnestu, veebiserverid ajutiselt võrgust maha võtta. Palo Alto Networks (Unit 42) luges kokku üle 22,6 miljoni avalikult ligipääsetava, potentsiaalselt haavatava instantsi. Kinnitatud edukaid laiaulatuslikke rünnakuid BSI esialgu ei teadnud, Cloudflare teatas aga juba ründekatsetest.
Juhtkonnale ja omanikele tähendab see: iga avalikult ligipääsetav PHP server on kandidaat, kuni vastupidine on tõendatud. Turvaaugu arusaadava selgituse leiate lehelt Mis on PHP2Shell?.
Kellele PHP2Shelli kohene abi mõeldud on?
Ettevõtetele, agentuuridele ja avalikele asutustele, kes kasutavad PHP rakendusi ega saa või ei taha olukorda vajalikus sügavuses üksi läbi töötada. See puudutab nii oma root-servereid ja vServereid kui ka Pleski või cPaneliga servereid, konteinerikeskkondi ja hallatavaid servereid, kus vastutus on ebaselge.
Ka veebimajutaja kasutajad vajavad sageli tuge. Paljud pakkujad portivad parandusi tagasi (backport); siis näitab näiteks Plesk edasi 8.2.34, kuigi paketi seis on paigatud. Vastupidi võidakse kuvada uut versiooninumbrit, samal ajal kui vanad PHP protsessid töötavad mälus edasi. Millised versioonid loetakse parandatuks, on kirjas lehel Millised PHP versioonid on mõjutatud?.
Kuidas PHP SOS konkreetselt aitab?
- Inventuur: Kaardistame kõik PHP paigaldused, töörežiimid ja versioonid teie serverites, kaasa arvatud paketi seis ja töötavad protsessid. Tulemuseks on loend, millised süsteemid on mõjutatud, parandatud või ebaselged.
- Paik või ajutine meede: Kus võimalik, paigaldame parandatud versioonid (8.5.12, 8.4.27, 8.3.36, 8.2.35) või teie distributsiooni paketid. Kui see kohe ei õnnestu, rakendame php.net-i järgi ajutised meetmed ja ütleme avameelselt, et need ei paku täielikku kaitset.
- Taaskäivitus ja kontroll: Käivitame kõik PHP tööprotsessid ja protsessid uuesti ning kontrollime seejärel, et ükski vana protsess enam ei tööta. Uued failid üksi turvaauku ei sulge.
- Esmane jälgede otsimine: Kindlustame serveri logid alates 20.10. ja otsime kõrvalekaldeid, nagu uued PHP failid, tundmatud cron-tööd või ebatavalised protsessid. Kuna avaldatud ja kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise) pole, põhineb see kontroll käitumisanalüüsil.
- Tõend ja järgmised sammud: Saate kirjaliku aruande. Kompromiteerimise kahtluse korral soovitame sobivaid järgsamme, näiteks pahavara eemaldamist või forensilist uuringut.
Paik ei eemalda juba sisse toodud kahjulikku tarkvara ega tõesta, et varem midagi ei juhtunud. Seetõttu kuulub kohese abi juurde alati pilk ajavahemikule alates 17.10.2026.
Mida te meilt saate
- ülevaade kõigist kontrollitud serveritest koos PHP versiooni, paketi seisu, töörežiimi ja paigatud seisuga
- paigaldatud uuenduste või rakendatud ajutiste meetmete dokumentatsioon
- tõend, et kõik PHP protsessid on uuesti käivitatud
- jälgede otsimise hinnang, eristatuna tõendatud, tõenäoline ja teadmata
- avatud punktide loend, näiteks süsteemid PHP 8.1 või vanemaga
Selle aruande võite edastada juhtkonnale, andmekaitsespetsialistile või kindlustajale. Õiguslikku hinnangut see ei asenda.
Mida me teilt vajame
- Ligipääs: SSH- või paneeliligipääs piisavate õigustega, teise võimalusena luba, et teie veebimajutaja võib meile teavet anda
- Kontaktisik: isik, kellel on õigus otsuseid teha, näiteks lühikese võrgust väljas oleku või taaskäivituse kohta
- Ülevaade: millised veebisaidid, poed ja rakendused millistes serverites töötavad
- Hooldusaken: teie nõuded selle kohta, millal taaskäivitusi tohib teha
- Varukoopiad: teave selle kohta, kus asuvad värsked varukoopiad
Administraatoritele, kes tahavad ise eelnevalt kontrollida, piisab sageli juba sellest ohutust pilgust seisule:
php -v
# Debian/Ubuntu: paigaldatud PHP paketid koos versiooniga
dpkg -l | grep -i php
# töötavad PHP protsessid ja nende algusaeg
ps -eo pid,lstart,cmd | grep -i php
Mida me ei luba
Me ei luba absoluutset turvalisust ega väidet, et teie serverit pole kunagi rünnatud, kui tõendid seda ei võimalda. Töötame intsidendi kallal seni, kuni see on lõpetatud ja dokumenteeritud. Kas teavitamiskohustus IKÜM-i alusel on olemas või tuleb kindlustajat teavitada, selgitage välja andmekaitsespetsialisti, advokaadi või kindlustajaga. Meie anname selleks tehnilised faktid.
Kui vajate ainult uuendust koos tõendiga, sobib meie PHP paikamisteenus. Kui rünnakule viitavaid märke on juba olemas, on õige algus hädaabi häkitud veebisaidi korral.
Korduma kippuvad küsimused
Kas piisab, kui minu veebimajutaja on PHP-d uuendanud?
See võib piisata, kui veebimajutaja kinnitab paketi seisu kirjalikult ja kõik PHP protsessid on uuesti käivitatud. Kuvatav versiooninumber üksi ei ole tõend, sest distributsioonid portivad parandusi tagasi (backport). Kas server oli juba enne rünnatud, sellele paik niikuinii vastust ei anna.
Kas minu veebisait peab kohese abi ajaks võrgust maha minema?
Mitte tingimata. BSI (Saksamaa föderaalne infoturbeamet) soovitab veebiservereid ajutiselt võrgust maha võtta, kui uuendust ei saa kohe teha. Kas see on teie puhul vajalik, otsustame koos pärast inventuuri.
Kas WordPressi või Shopware'i uuendus kaitseb PHP2Shelli eest?
Ei. PHP2Shell asub PHP-s endas, mitte sisuhaldussüsteemis. CMS-i uuendus on endiselt mõistlik, kuid see turvaauk sellega ei sulgu.
Mis saab PHP 8.1 või vanema versiooniga?
Nende versioonide jaoks PHP projekt enam ametlikke uuendusi ei anna, ainult minimaalsed lähtekoodi tagasiportimised versioonidele 7.4, 8.0 ja 8.1. Kaitseme serveri ajutiselt ning planeerime koos teiega üleminekut toetatud versioonile.