# Veebishell leitud? Toimige nüüd õigesti

> Leidsite veebishelli või kahtlase PHP faili? Ärge kustutage, kindlustage kõigepealt. Selgitame ulatuse ja sisenemistee. Helistage või kirjutage WhatsAppis.

Allikas: https://phpsos.de/et/soforthilfe/webshell-gefunden/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** Veebishell on väike fail, mille kaudu võõras saab teie serverit kaugjuhtida. Kes on sellise leidnud, on väga tõenäoliselt mõjutatud ja peaks kohe teada andma. Ärge kustutage, ärge avage, kindlustage kõigepealt. Selgitame kaugteel, kuidas see serverisse sattus, kas on veel ligipääse, ja puhastame serveri.

> **Tegutsege kohe:**
> **Ärge praegu midagi kustutage ega installige uuesti.** Ka veebishell ise jääb esialgu paigale, et seda saaks kindlustada. Kas see puudutab teid? Helistage või kirjutage WhatsAppis või teatage leid lehel [Teatage hädaolukorrast](https://phpsos.de/et/notfall/).

## Leidsite veebishelli: mida see tähendab?

Veebishell on PHP skript (või skript mõnes muus serverikeeles), mis võtab väljastpoolt vastu käske. Nendega saavad ründajad lugeda faile, alla laadida andmeid, kahjulikku koodi juurde laadida ja jõuda teiste süsteemideni. Fail ei ole seetõttu harva rünnaku siht. See on tagauks, mille sissemurdja jätab, et ta tagasi tuleks.

Sellel on kaks tagajärge. Esiteks: kellelgi oli juba kirjutusligipääs teie serverile või ta sai koodi käivitada. Teiseks: leitud fail ei ole tõenäoliselt ainus. Lisaks see, mida sageli ei teata: alates millal see seal on ja mida on vahepeal sellega tehtud?

## Mille järgi veebishelli tunda

- PHP fail kaustas, kus ühtegi olema ei peaks, näiteks üleslaadimised, vahemälu, pildid või ajutised kataloogid
- failinimed, mis näevad välja nagu süsteemifailid, kuid ei kuulu teie tarkvara juurde, või topeltlõpuga nimed
- loetamatu kood pikkade märgijadade, kodeeringu ja käskude käivitamise funktsioonidega, vt [Hägustatud PHP koodi tuvastamine](https://phpsos.de/et/blog/verschleierter-php-code/)
- muutmiskuupäev, mis ei sobi kokku teie uuendustega
- juurdepääsud sellele failile logides, sageli võõrastelt aadressidelt ja POST-päringutega
- veebiserveri protsessid, mis käivitavad shelli, nagu kirjeldab [Hoiatusmärk: veebiserver käivitab shelli](https://phpsos.de/et/blog/webserver-startet-shell/)

Kuidas leide õigesti tõlgendada, leiate lehelt [PHP failid üleslaadimiskaustas](https://phpsos.de/et/blog/php-dateien-im-upload-ordner/) ja üksikasjalikult lehelt [Veebishellide tuvastamine ja eemaldamine](https://phpsos.de/et/ratgeber/webshell-erkennen/).

## Mida teha kohe

1. **Ärge avage ega käivitage faili.** Ei mingeid teste brauseris.
2. **Ärge kustutage ega teisaldage.** Ärge muutke ei sisu ega ajatemplit.
3. **Pange kirja:** täielik tee, failinimi, leidmise ajapunkt, kes selle avastas ja millega.
4. **Kindlustage fail ja metaandmed:** koopia koos omaniku, õiguste ja ajatemplitega. Piisab ainult lugevatest kontrollikäskudest, näiteks:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Säilitage logid:** ärge laske veebiserveri ja PHP juurdepääsu- ja veaprotokolle üle kirjutada. Erialaajakirjandus soovitab serverilogisid säilitada alates 20.10.2026.
6. **Eraldage server vajaduse korral:** kui kahtlustate andmete lekkimist, võtke sait võrgust maha. Kuidas seejuures tõendeid säilitada, kirjeldab [Kindlustage tõendid enne uuesti üles seadmist](https://phpsos.de/et/blog/beweise-sichern-vor-neuinstallation/).
7. **Teavitage meid,** enne kui paroole muudetakse või faile puhastatakse.

## Kuidas PHP SOS konkreetselt aitab?

1. **Olukorra kaardistamine:** Mis leiti, kus, millal ja kelle poolt? Millised süsteemid asuvad samas serveris?
2. **Kindlustamine ja sulgemine:** Kindlustame leiu, failid, andmebaasi ja logid ning blokeerime ligipääsud, mis tunduvad kahtlased.
3. **Kontroll ja puhastamine:** Otsime täiendavaid veebishelle, muudetud tuumafaile, [peidetud cron-töid](https://phpsos.de/et/blog/cronjobs-als-hintertuer/), võõraid administraatorikontosid ja [tundmatuid SSH-võtmeid](https://phpsos.de/et/blog/ssh-schluessel-pruefen/) ning eemaldame need. Tööviis vastab teenusele [Pahavara ja veebishellide eemaldamine](https://phpsos.de/et/leistungen/malware-entfernung/).
4. **Karastamine ja aruandlus:** Nimetame tõenäolise sisenemistee, sulgeme selle ja kaitseme serveri. Saate dokumentatsiooni leidude ja ajajoonega.

## Kuidas veebishell serverisse sattus?

Tüüpilised teed on vananenud pistikprogrammid või laiendused, ebaturvalised failide üleslaadimised, varastatud ligipääsuandmed ja turvaaugud serveri tarkvaras. Alates PHP2Shelli avaldamisest lisandub veel üks võimalus: PHP ilma parandusteta versioonidest 8.5.12, 8.4.27, 8.3.36 või 8.2.35 võib kaugteel koodi käivitamiseks kuritarvitada. Kinnitatud kompromiteerimise tunnuseid (Indicators of Compromise) selle kohta ei ole, tuvastamine põhineb käitumisel. Kas sissepääs toimus teie juures PHP2Shelli või mõne muu tee kaudu, saab tuletada ainult jälgedest, ja märgime, mis on tõendatud ja mis oletus. Kuidas logid siin aitavad, näitab [Veebiserveri logide hindamine](https://phpsos.de/et/ratgeber/logfiles-auswerten/).

Paik ei eemalda seejuures olemasolevat veebishelli. Ka kaitse tulevaste leidude vastu kuulub asja juurde: [PHP käivitamise keelamine üleslaadimiskaustades](https://phpsos.de/et/blog/php-in-uploads-verbieten/) takistab paljusid juhtumeid. Arvestage lisaks [pahavaraskannerite piiridega](https://phpsos.de/et/blog/grenzen-von-malware-scannern/): leiuta skannimine ei ole märguanne, et oht on möödas.

Kui peate täpselt teadma, mis juhtus, näiteks kindlustaja või ametiasutuste jaoks, võib olla mõistlik [IT-forensika](https://phpsos.de/et/leistungen/it-forensik/).

## Ja kui veebishell pärast kustutamist tagasi tuleb?

See juhtub sageli ja tal on tavaliselt kaks põhjust. Kas on vähemalt üks täiendav tagauks, mis leiu uuesti loob, või on sisenemisauk endiselt lahti ja ründaja tuleb lihtsalt uuesti. Kumbagi ei lahenda korduv kustutamine. Seetõttu otsime muudatuste tervikut: uusi ja muudetud faile, kirjeid andmebaasis ja seadistuses, ajastatud ülesandeid, kontosid. [Hiljuti muudetud failide loend](https://phpsos.de/et/blog/geaenderte-dateien-finden/) on selleks mõistlik algus, kuid ei asenda spetsialistide kontrolli.

## Mida peaksite meile saatma

- faili tee ja nimi, võimalusel koopiana koos ajatemplitega (üleandmise tee kooskõlastame)
- väljavõtted juurdepääsulogidest selle faili ümbert, kui teil on ligipääs
- serveri liik, majutaja, PHP versioon ja töörežiim, kui teada
- millised veebisaidid ja rakendused serveris töötavad
- millal viimati toimusid uuendused, üleslaadimised või muudatused

## Miks PHP SOS

Töötame Saksamaal tehtud (Made in Germany) lahendustega ja oleme koos oma küberspetsialistide partnervõrgustikuga spetsialiseerunud IT-turvalisusele üle 25 aasta. Üks kontaktisik juhib teid läbi juhtumi. Töötame kaugteel, ilma kohale sõitmata, kogu Saksamaal ja Euroopas, dokumenteerime iga sammu ega anna lubadusi, mida keegi ei saa täita. Jääme juurde, kuni juhtum on lõpetatud ja dokumenteeritud.

## Kas see puudutab teid? Helistage. Me aitame.

Leitud veebishell on hoiatusmärk, mida peaksite tõsiselt võtma. Andke kohe teada, helistades või WhatsAppis, ja võtame töö üle esimesest sõnumist. [Teatage nüüd hädaolukorrast](https://phpsos.de/et/notfall/)


## Korduma kippuvad küsimused

**Leidsin veebishelli. Kas ma tohin faili lihtsalt kustutada?**  
Palun mitte kõigepealt. Fail näitab, millal ja millega ründaja tuli. Kindlustage see kõigepealt koos ajatemplite ja omanikuga, siis eemaldatakse see sihipäraselt. Kes ainult kustutab, jätab tavaliselt maha täiendavad ligipääsud.

**Kas peaksin kahtlase faili brauseris avama, et näha, mida see teeb?**  
Ei. Avamine võib kahjuliku koodi käivitada ja jälgi veelgi hägustada. Kontrollige faili ainult lugedes ja parimal juhul koopial.

**Kas pahavaraskannerist piisab kõigi veebishellide leidmiseks?**  
Mitte usaldusväärselt. Skannerid tunnevad ära teadaolevaid mustreid, kuid hägustatud või uuesti ehitatud veebishellid jäävad neil märkamata. Puhas skannimine ei tõesta, et midagi enam ei ole.

**Kuidas ma tean, kui kaua on veebishell serveris olnud?**  
Viiteid annavad muutmiskuupäev, juurdepääsu- ja vealogid ning võrdlused teiste uute failidega. Ajatemplid on aga võltsitavad. Seetõttu hindame mitut allikat ja märgime, mis on tõendatud ja mis oletus.

**Kas pean leiust teatama?**  
Niipea kui isikuandmed võivad olla mõjutatud, võib järelevalveasutuse teavitamine olla vajalik. Selles nõustavad andmekaitsespetsialistid või advokaadid; meie annab tehnilised faktid.

## Allikad

- [BSI: Saksamaa föderaalne infoturbeamet](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [IKÜM art 33: teavitamine järelevalveasutusele](https://dsgvo-gesetz.de/art-33-dsgvo/)