# Contao turvalisus pärast PHP2Shelli: veebisaitide õige kaitsmine

> Contao turvalisus pärast PHP2Shelli: kontrollige veebi ja Contao Manageri PHP-d, vaadake üle .env ja mallid, kaitske taustaliidese ja Manageri ligipääsu.

Allikas: https://phpsos.de/et/plattformen/contao/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** Contao turvalisus sõltub PHP2Shelli puhul serveri PHP-st, mitte Contaost. Jälgige, et nii veebi-PHP kui ka Contao Manageri käsurea PHP oleksid paigatud. Seejärel kontrollige `.env`, oma malle, kausta `files` ning ligipääse taustaliidesele ja Managerile.

## Contao ja PHP2Shell: millest jutt käib

Contao on saksa keelt kõnelevas ruumis levinud sisuhaldussüsteem, mis põhineb alates versioonist 4 raamistikul Symfony. PHP turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta. Need puudutavad PHP-d ennast, seega ka iga Contao paigaldust paigamata serveris.

Paljud Contao veebisaidid kuuluvad keskmistele ettevõtetele, liitudele ja omavalitsustele ning neid hooldavad agentuurid. Selgitage seetõttu kõigepealt, kes PHP eest vastutab: majutaja, agentuur või teie enda IT.

Sage eksiarvamus puudutab hooldusrežiimi. Contao saab veebisaidi külastajatele sulgeda, kuid seda sulgu serveerib samuti PHP. Iga päring jõuab seega ikka PHP interpretaatorini. PHP2Shelli vastu hooldusrežiim seetõttu ei kaitse. Kui BSI (Saksamaa föderaalne infoturbeamet) soovitab veebiserverid kuni uuenduseni võrgust maha võtta, mõeldakse sulgu serveri või majutuse tasemel, mitte sätet sisuhaldussüsteemis.

## Contao turvalisus algab kahest PHP versioonist

Contao kasutab PHP-d kahel viisil. Veebiserver töötleb lehepäringuid enamasti PHP-FPM-i kaudu. Contao Manager ja Contao konsool töötavad lisaks käsurea PHP-ga, näiteks paigalduste, uuenduste ja cron-tööde jaoks. Mitme PHP versiooniga majutuspakettide puhul võib see olla kaks erinevat programmi.

Contao Manager näitab oma serverikonfiguratsioonis, millist PHP programmifaili ta kasutab. Veebiversiooni näete majutuspaneelis. Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35; tagasiportimised (backport) võivad kanda vanemaid numbreid. Mõlemad teed peavad olema paigatud ja kõik protsessid taaskäivitatud. Milliseid PHP versioone teie Contao versioon toetab, kontrollige süsteeminõuete järgi lehel contao.org. Lähemalt kontrollimise kohta leht [PHP versiooni ja paigataseme õige kontroll](https://phpsos.de/et/php2shell/php-version-pruefen/).

## Kataloogid ja failid Contaos

| Koht | Sisu | Kontrollpunkt |
|---|---|---|
| `.env`, `.env.local` | Andmebaasi ligipääs, `APP_SECRET` | Kahtluse korral uuendada |
| `config/config.yaml` | Paigalduse konfiguratsioon | Ootamatud muudatused |
| `public/` (vanemad versioonid `web/`) | Dokumendijuur koos `index.php`, Contao Manageri faili, assetitega | Lisa-PHP failid |
| `files/` | Toimetajate failihaldus | PHP faile pole |
| `templates/` | Oma mallid, klassikaliselt `.html5` PHP-ga | Tundmatud või muudetud mallid |
| `system/config/localconfig.php` | Vanemad sätted | Sissetoodud kood |
| `var/` | Vahemälu ja logid | Logid varundada, vahemälu uuesti genereerida |

Just `templates/` alahinnatakse: klassikalised Contao mallid laiendiga `.html5` on PHP failid. Oma malli sisse lükatud käsk töötab igal lehepäringul kaasa ja jääb Contao uuendustest puutumata.

Ohutud esimesed kontrollid:

```bash
# PHP failid failihalduses
find files -type f -name "*.php"
# Alates 17.10.2026 muudetud mallid
find templates -type f -newermt "2026-10-17"
# Saadaolevate Contao käskude ja sõltuvuste kontroll
vendor/bin/contao-console list contao
composer audit
```

> **Oluline:**
> Contao Manager saab pakette paigaldada ja sellega suvalist koodi serverisse tuua. Kontrollige kahtluse korral selle kasutajakontosid, määrake uued paroolid ja eemaldage endiste teenuseosutajate ligipääsud.

## Taustaliides, Manager ja laiendused

Taustaliides asub aadressil `/contao`. Kontrollige administraatoriõigustega kasutajaid ja kaugeleulatuvate õigustega kasutajagruppe, näiteks failihalduse, mallide või kasutajahalduse osas. Contao toob kaasa kaheastmelise autentimise; kasutage seda kõigi kõrgendatud õigustega kontode puhul.

Laiendusi paigaldatakse Composeri või Contao Manageri kaudu. Igaüks toob kaasa PHP koodi ja hooldamata vanemad laiendused pidurdavad PHP-upgrade'e. Mitme veebisaidiga serverites peaks iga paigaldus töötama eraldi, et intsident ei levi naaberlehtedele; lähemalt lehel [open_basedir ja eraldamine veebisaidi kaupa](https://phpsos.de/et/ratgeber/open-basedir/).

## Mida Contao uuendus suudab ja mida mitte

Contao uuendus Manageri või Composeri kaudu sulgeb Contao ja laienduste teadaolevad vead. See ei paiga PHP-d ega taaskäivita PHP-FPM-i ega taustaprotsesse. Oma mallid, failid kaustas `files/` ja võõrad kasutajakontod jäävad muutmata. Pärast PHP peaversiooni vahetust tuleks vahemälu uuesti genereerida ja veebisaiti testkeskkonnas kontrollida.

Paljude toimetajatega veebisaitide puhul tasub pärast paika vaadata taustaliidese õigusi. Kes tohib malle muuta, saab klassikalistesse `.html5` mallidesse PHP koodi lisada. See õigus kuulub vaid väheste, tehniliselt osavate isikute kätte. Sama kehtib failihalduse ligipääsu kohta üleslaadimisõigustega avalikult kättesaadavatesse kaustadesse.

## Kuidas PHP SOS konkreetselt aitab?

- Selgitame välja teie Contao paigalduse veebi- ja CLI-PHP ning laseme paigatud ja taaskäivituse kinnitada.
- Varundame logid, failid ja andmebaasi, enne kui midagi muudame.
- Kontrollime malle, `files/`, dokumendijuurt, taustaliidese ja Manageri kontosid.
- PHP vahetuse koos tõendiga võtab soovi korral enda peale meie [PHP paigateenus](https://phpsos.de/et/leistungen/php-patch-service/), kooskõlastatult teie agentuuriga.


## Korduma kippuvad küsimused

**Kas Contao on PHP2Shellist mõjutatud?**  
Contaol endal uut turvaauku ei ole. Kui veebisait töötab aga paigamata PHP-l, on see nagu iga PHP rakendus ründamisele avatud. Contao uuendus PHP turvaauku ei sulge.

**Miks on Contao Manager turvalisuse seisukohalt oluline?**  
Contao Manager saab pakette paigaldada, uuendada ja eemaldada. Kes sellele ligi pääseb, saab sisse viia suvalist koodi. Ligipääs vajab seetõttu tugevat parooli ja vähe õigustatud isikuid.

**Kas Contao mallid sisaldavad PHP koodi?**  
Klassikalised mallid laiendiga .html5 on PHP mallid. Oma mallid kaustas templates võivad seetõttu sisaldada PHP-d. Tundmatuid või hiljuti muudetud malle peaksite suutma selgitada.

## Allikad

- [php.net: turvateated](https://www.php.net/)
- [Contao](https://contao.org/)
- [Toetatud PHP versioonid](https://www.php.net/supported-versions.php)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)