Lühidalt: Kui kahtlustate, et teie serverit häkiti PHP2Shelli kaudu, andke kohe teada. Kas see puudutab teid? Helistage. Me aitame. Võtame esimesest sõnumist alates üle tõkestamise, kindlustame jäljed, sulgeme turvaaugu, eemaldame kahjuliku koodi ja dokumenteerime juhtumi kuni selle lõpuni.
Ärge praegu midagi kustutage ega installige uuesti. Kustutatud failid ja üle kirjutatud logid on jäljed, mille põhjal selgub, kas ja kuidas keegi sisse pääses. Vajaduse korral eemaldage server võrgust, kuid jätke see muutmata. Teatage hädaolukorrast, me ütleme teile järgmise sammu.
Kas see puudutab teid? Märgid, et PHP2Shelli on juba kasutatud
PHP2Shell on nimi kahele kriitilisele turvaaugule PHP-s endas, mille kaudu saavad ründajad ilma sisselogimata kaugelt kahjulikku koodi käivitada. Ühemõttelist sõrmejälge seni ei ole. Seetõttu loeb see, mida server teeb, mitte see, mida skanner leiab. Sissemurdmisele viitavad:
- Veebiserveri või PHP-FPM protsessid, mis käivitavad shelli, näiteks
shvõibash. See on tugev hoiatusmärk. - Uued või muudetud PHP failid üleslaadimis-, vahemälu- või ajutistes kaustades, mida keegi ei ole loonud.
- Cron-tööd, teenused või SSH-võtmed, mida te ei tunne.
- Väljaminevad ühendused tundmatutesse sihtkohtadesse, ootamatult suur koormus või ebatavaline andmeliiklus.
- Päringud logides alates 17.10.2026, eriti silmatorkavad üleslaadimised ja sessioonipäringud enne paiga paigaldamist.
- Teated majutajalt, brauserilt või otsingumootorilt rämpsposti, pahavara või ümbersuunamiste kohta.
Rohkem leiate lehelt Kas ma olen juba kompromiteeritud?. Kui ühtegi märki ei ole, ei tõenda see puhast serverit. See tähendab vaid, et seni ei ole midagi silma jäänud.
Mida teha kohe
- Ärge midagi muutke. Ärge kustutage faile, ärge taastage varukoopiat ja ärge installige uuesti enne, kui kõik on kindlustatud.
- Kindlustage logid. Paluge oma majutajal või IT-l mitte üle kirjutada juurdepääsu-, vea- ja süsteemilogisid. Erialaajakirjandus soovitab logisid säilitada alates 20.10.2026.
- Otsustage kättesaadavus. Kui andmed võivad lekkida või külastajad olla ohus, võtke sait võrgust maha või lülitage see hooldusrežiimi.
- Koguge ligipääsud kokku. Pange kirja, kellel on ligipääs serverile, haldusliidesele, CMS-ile ja andmebaasile. Paroole muutke alles pärast kokkulepet ja puhtast seadmest.
- Teavitage inimesi. Juhtkonda, andmekaitsespetsialisti ning olemasoleva poliisi korral kindlustusandjat.
- Helistage või kirjutage meile. Mida varem me olukorda teame, seda rohkem jääb tõendatavaks.
Kuidas PHP SOS konkreetselt aitab?
Töötame kaugteel, ilma kohale sõitmata, kogu Saksamaal ja Euroopas.
- Olukorra kaardistamine: Selgitame välja, millised süsteemid töötavad, milline PHP töörežiim on kasutusel, mis on silma jäänud ja millised andmed võivad olla mõjutatud.
- Kindlustamine ja sulgemine: Kindlustame failid, andmebaasi ja logid ning fikseerime seisu enne iga muudatust. Seejärel sulgeme turvaaugu paigaga või, kui see ei ole veel võimalik, üleminekumeetmetega, ning käivitame kõik PHP protsessid uuesti.
- Kontroll ja puhastamine: Otsime veebishelle, tagauksi, cron-töid ja võõraid ligipääse ning eemaldame need või ehitame seisu uuesti üles usaldusväärsetest allikatest. Tööviisi kirjeldab Pahavara ja veebishellide eemaldamine.
- Karastamine ja aruandlus: Vahetame välja mõjutatud saladused, täiendame kaitsemeetmeid ja esitame aruande, mis eristab tõendatu, tõenäolise ja teadmata.
Kui juhtum kasvab üle ühe serveri, liigume üle struktureeritud intsidendile reageerimisele (Incident Response). Kui vaja on tõendeid, mis peavad kohtus vastu, kaasame IT-forensika.
Miks ainuüksi paik pärast rünnakut ei piisa
Turvaaugud asuvad PHP interpretaatoris, mitte CMS-is. PHP projekt avaldas 21.10.2026 versioonid 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Kes on pärast seda uuendanud ja kõik töötajaprotsessid uuesti käivitanud, on selle tee kaudu uute rünnakute eest kaitstud. Mida ründaja on varem maha jätnud, jääb aga alles: veebishell, lisakonto, ajastatud ülesanne. Just seetõttu on päevad 17. ja 21.10. vahel eriti olulised.
Lisandub teine punkt: veebishell on sageli vaid esimene samm. Kes sai veebiserveris koodi käivitada, sai lugeda ka seadistusfaile ja nendest üle võtta andmebaasi-, e-posti- ja API-ligipääsud. Need saladused tuleb asendada, vastasel juhul jääb uks lahti, kuigi PHP on paigatud. Kuidas faile ja ajapunkte mõistlikult kontrollida, kirjeldab juhend Veebishellide tuvastamine.
Teavitamiskohustus ja dokumentatsioon
Kui isikuandmed võisid olla mõjutatud, võib tekkida kohustus teavitada järelevalveasutust 72 tunni jooksul. Tähtaeg hakkab kulgema teadasaamisest, mitte uurimise lõpetamisest. Kas teie juhtum on teavitamiskohustuslik, otsustavad andmekaitsespetsialist või advokaat; õigusnõu me ei anna. Meie dokumentatsioon annab selleks aluse. Rohkem tähtaja kohta leiate lehelt IKÜM-i teavitamiskohustus 72 tunni jooksul, järgmised sammud Kontrollnimekirjast pärast häkkimist.
Mida peaksite meile saatma
- Kirjeldus, mis on alates millal silma jäänud ja kes seda märkas
- Serveri liik: oma server, hallatav server (Managed Server) või majutuspakett, lisaks majutaja
php -vtulemus ja, kui teada, töörežiim (PHP-FPM, mod_php, LiteSpeed)- PHP uuenduse ajapunkt, kui see on juba tehtud
- Ligipääs serverile või luba rääkida teie majutajaga
- Kontaktisik, kellel on õigus otsustada väljalülitamise ja taaskäivitamise üle
Miks PHP SOS
Töötame Saksamaal tehtud (Made in Germany) lahendustega ja oleme koos oma küberspetsialistide partnervõrgustikuga spetsialiseerunud IT-turvalisusele üle 25 aasta. Teil on üks kontaktisik, kes saadab teid esimesest sõnumist kuni lõpuni. Kõik, mida teeme, dokumenteeritakse, et saaksite seda juhtkonna, kindlustaja ja ametiasutuste ees tõendada. Me ei luba midagi, mida keegi ei saa täita: kui logid puuduvad, ütleme seda avameelselt ning nimetame, mis on tõendatud ja mis jääb oletuseks.
Kas see puudutab teid? Helistage. Me aitame.
Ärge oodake, kuni kahtlus muutub kindlaks teadmiseks. Helistage või kirjutage WhatsAppis. Võtame töö üle esimesest sõnumist ja jääme juurde, kuni juhtum on lõpetatud ja dokumenteeritud. Teatage nüüd hädaolukorrast.
Korduma kippuvad küsimused
Kas piisab PHP uuendamisest, kui mu server on võib-olla juba häkitud?
Ei. Uuendus sulgeb turvaaugu, kuid ei eemalda juba sisse toodud pahavara ega tõesta, et varem midagi ei juhtunud. Pärast paika tuleb serverit sissemurdmise jälgede suhtes kontrollida.
Kuidas tunda ära õnnestunud PHP2Shelli rünnak?
Avaldatud ja kinnitatud kompromiteerimise tunnuseid (Indicators of Compromise) ei ole. Tuvastamine põhineb käitumisel: veebiserveri protsessid, mis käivitavad shelli, uued PHP failid üleslaadimis- või vahemälukaustades, tundmatud cron-tööd või SSH-võtmed ning silmatorkavad väljaminevad ühendused.
Kas peaksin serveri võrgust eemaldama, kui kahtlustan sissemurdmist?
Sageli on see õige, sest BSI (Saksamaa föderaalne infoturbeamet) soovitab veebiserverid ajutiselt võrgust eemaldada ka siis, kui uuendus ei ole kohe võimalik. Oluline on seejuures mitte midagi kustutada ning säilitada logid ja failid, et juhtumit saaks selgitada.
Kas pean pärast PHP2Shelli rünnakut andmekaitseasutust teavitama?
Kui isikuandmed võivad olla mõjutatud, võib teavitamine 72 tunni jooksul olla vajalik. Otsuse teete koos oma andmekaitsespetsialisti või advokaadiga; meie annab selleks tehnilised faktid.
Kas servereid on PHP2Shelli kaudu tõesti juba häkitud?
Meediaaruannete järgi täheldati esimesi rünnakukatseid alates 17.10.2026 ja Cloudflare teatas täheldatud rünnakukatsetest. BSI ei teatanud esialgu laialdastest kinnitatud õnnestunud rünnakutest. Üksikjuhtumi saab selgeks teha ainult serveris endas.