Lyhyesti: PHP-aukko selkeästi: PHP on verkkopalvelimen ohjelmisto, joka kokoaa verkkosivustot sillä hetkellä, kun joku avaa ne. PHP2Shellissä PHP ei tietyissä poikkeustilanteissa siivoa kunnolla, ja juuri tätä hyökkääjät voivat käyttää suorittaakseen omia komentoja palvelimella ilman salasanaa. Ratkaisu on PHP:n päivitys ja sitä seuraava uudelleenkäynnistys, jonka yleensä asentaa hosting-yrityksenne tai palveluntarjoajanne.
Miksi juuri nyt kaikki puhuvat PHP:stä
Uutisissa puhuttiin ”kriittisestä tietoturva-aukosta”, viranomaiset ottivat verkkosivustoja pois verkosta ja BSI (Saksan liittovaltion tietoturvavirasto) varoitti oranssilla tasolla. Monista omistajista ja työntekijöistä se kuulostaa sekä uhkaavalta että käsittämättömältä. Mikä PHP on, ja miksi se koskee juuri oman yrityksen verkkosivustoa?
Tämä artikkeli selittää tilanteen ilman ammattikieltä. Joka haluaa sen jälkeen syventyä, löytää teknisen arvion kohdasta Mikä on PHP2Shell?.
Mitä PHP oikeastaan tekee: arkinen vertaus
Kuvitelkaa verkkosivustonne ravintolana. Vieras on kävijä, tilaus on sivun avaus. PHP on keittiö: se ottaa vastaan jokaisen tilauksen, hakee ainekset varastosta eli tietokannasta ja asettelee annoksen lautaselle eli valmiin sivun.
Jotta se käy nopeasti, keittiössä on useita kokkeja, jotka käsittelevät peräkkäin monta tilausta. Ammattilaiset kutsuvat heitä ”workereiksi”. Jokaisen tilauksen jälkeen työpiste pitäisi siivota kokonaan ennen seuraavaa.
PHP:llä toimii hyvin monia tunnettuja järjestelmiä: WordPress, Shopware, TYPO3, Joomla, Nextcloud ja lukemattomat omat kehitykset. Miten PHP periaatteessa toimii, selittää artikkeli Mikä on PHP?.
PHP-aukko selkeästi: mikä PHP2Shellissä menee pieleen
PHP2Shell koostuu kahdesta virheestä. Molemmat liittyvät siivoamiseen, ja molemmat ilmenevät vain poikkeustilanteissa.
Ensimmäinen virhe (CVE-2026-109618): Joskus keittiöltä loppuu tila kesken valmistuksen. Ammattilaiset sanovat ”Out of Memory”, muisti on täynnä. Silloin työ keskeytetään, kun tilaus on vasta puoliksi valmisteltu. Sitä seuraavassa siivouksessa PHP pitää keskeneräisiä asioita erehdyksessä valmiina.
Toinen virhe (CVE-2026-109619): Tilauksen jälkeen työpisteelle jää jotain, minkä olisi pitänyt jo olla siivottu pois. Saman kokin seuraava tilaus voi päästä siihen käsiksi ennen kuin se poistetaan.
Kummassakin tapauksessa pätee: joka tietää tarkasti, miten tämän poikkeustilanteen aiheuttaa, voi saada keittiön tekemään asioita, joita ei koskaan tilattu. Pahimmassa tapauksessa hän ottaa palvelimen hallintaansa. Salasanaa hän ei tarvitse. Miten pyyntö käsitellään PHP:ssä vaihe vaiheelta, kuvaa artikkeli pyynnön elinkaaresta.
Teidän ei tarvitse ymmärtää tekniikkaa toimiaksenne oikein. Ratkaisevaa on yksi kysymys hosting-yritykselle tai palveluntarjoajalle: Onko PHP palvelimellamme päivitetty ja käynnistetty uudelleen, ja voitteko vahvistaa sen kirjallisesti?
Tärkeimmät käsitteet yhdellä silmäyksellä
| Käsite | Selitettynä yksinkertaisesti |
|---|---|
| PHP | palvelimen ohjelmisto, joka kokoaa verkkosivut avattaessa |
| Tietoturva-aukko | virhe, jota ulkopuoliset voivat hyödyntää |
| CVE-numero | tietoturva-aukon maailmanlaajuisesti yksilöllinen tunnusnumero |
| CVSS 9.2 | vakavuusaste asteikolla 10:een asti; 9,2 on kriittinen |
| Remote Code Execution | ulkopuoliset voivat suorittaa etäältä omia komentoja palvelimella |
| Shell | komentorivi, jolla palvelinta voi ohjata |
| Patch | päivitys, joka korjaa virheen |
| Backport | korjaus, joka rakennetaan vanhempaan versioon muuttamatta versionumeroa |
| Uudelleenkäynnistys | vanhojen PHP-prosessien lopettaminen, jotta korjattu versio todella toimii |
Miksi päivitys, uudelleenkäynnistys ja tarkistus kuuluvat yhteen
Pysytään ravintolassa. Päivitys on uusi työohje keittiölle: näin siivotaan jatkossa. Mutta vuorossa olevat kokit jatkavat vielä vanhan ohjeen mukaan. Vasta kun vuoro vaihtuu, uusi ohje tulee voimaan. Juuri se on uudelleenkäynnistys: kaikki vanhat PHP-prosessit lopetetaan, uudet käynnistyvät korjatulla versiolla. Ilman uudelleenkäynnistystä päivitys on palvelimella mutta ei vaikuta.
Ja vielä yksi asia näkyy kuvasta. Uusi työohje estää tulevat vahingot, mutta ei kerro, onko edellisinä päivinä joku käynyt keittiössä huomaamatta ja piilottanut jotain. Siksi päivityksen jälkeen kuuluu tehdä jälkien tarkistus, erityisesti jos palvelin oli tavoitettavissa 17. lokakuuta ja päivityksen välisenä aikana.
Mitä teidän kannattaa nyt tehdä: kolme tyypillistä lähtötilannetta
Mitä on tehtävä, riippuu siitä, missä verkkosivustonne sijaitsee.
- Verkkosivustonne on hosting-yrityksellä (jaettu verkkohotelli). Hosting-yritys asentaa PHP-päivityksen yleensä itse. Teidän tehtävänne: hankkia kirjallinen vahvistus ja tarkistaa asiakasvalikosta, onko ajantasainen PHP-versio asetettu. Mikä muu on tehtävänne, kerrotaan kohdassa Jaettu verkkohotelli: mitä hosting-yritys tekee ja mitä teidän on tehtävä.
- Toimisto tai IT-palveluntarjoaja huolehtii verkkosivustostanne. Kysykää heiltä, onko päivitys asennettu ja PHP käynnistetty uudelleen, ja pyytäkää lyhyt poikkeamien tarkistus.
- Teillä on oma palvelin. Silloin vastuu on teillä itsellänne tai IT:llänne: PHP:n päivitys, kaikkien PHP-prosessien uudelleenkäynnistys, lokien tallennus 20. lokakuuta alkaen ja jälkien tarkistus.
Kaikissa kolmessa tapauksessa pätee: WordPressin tai jonkin muun verkkosivuston järjestelmän päivitys ei sulje aukkoa. Eikä päivitys todista, ettei aiemmin ole tapahtunut mitään.
Miten PHP SOS auttaa konkreettisesti?
- Selittäminen ymmärrettävästi: Kerromme selkein sanoin, koskeeko ja miten järjestelmiänne.
- Puhuminen hosting-yrityksen kanssa: Pyynnöstä selvitämme korjaustilan suoraan hosting-yrityksenne tai palveluntarjoajanne kanssa.
- Päivitys ja tarkistus: Omilla palvelimilla asennamme päivityksen, käynnistämme PHP:n uudelleen ja tarkistamme jäljet.
- Kirjallinen kirjaus: Saatte lyhyen dokumentaation tilasta.
Lisää kohdassa PHP2Shell-pikaapu.
Yhteenveto
PHP2Shell kuulostaa monimutkaiselta, mutta tilanne ei ytimeltään ole: verkkosivustonne keittiö ei poikkeustapauksissa siivoa oikein, ja sitä voi hyödyntää. Päivitys korjaa sen. Teidän tehtävänne on varmistaa, että se on asennettu, otettu käyttöön ja todistettu, ja tarvittaessa teetättää tarkistus siitä, onko joku käynyt keittiössä ennen sitä.
Usein kysytyt kysymykset
Mikä PHP on yksinkertaisesti sanottuna?
PHP on ohjelmointikieli, joka toimii verkkopalvelimella. Kun avaatte sivun, PHP kokoaa sen sillä hetkellä, esimerkiksi ajantasaisine tuotteineen, hintoineen tai ostoskoreineen, ja lähettää sen selaimeenne.
Koskeeko aukko verkkosivustoani, jos käytän WordPressiä?
WordPress toimii PHP:llä, joten sen alla oleva palvelin voi olla alttiina. Se, onko verkkosivustonne vaarassa, riippuu palvelimen PHP-tilasta, ei WordPress-versiosta. Kysykää hosting-yritykseltänne tai palveluntarjoajaltanne PHP-päivityksestä.
Voinko olla vaarassa verkkosivuston kävijänä?
Aukko koskee palvelimia, ei kävijöiden tietokoneita. Jos palvelin kaapataan, hyökkääjät voisivat kuitenkin esimerkiksi muuttaa sisältöä tai ohjata kävijät vieraille sivuille. Siksi päivitys on tärkeä ylläpitäjille.
Mitä nimi PHP2Shell tarkoittaa?
Se kuvaa mahdollista seurausta: PHP:n kautta hyökkääjä voi pahimmassa tapauksessa saada shellin eli eräänlaisen etäohjauksen palvelimeen. Viralliset tunnisteet ovat CVE-2026-109618 ja CVE-2026-109619.