# PHP2Shell: mikä on todennettu ja mikä ei

> PHP2Shell-tosiasiat tarkistettuna: mitä php.net ja BSI todella vahvistavat, mikä perustuu vain raportteihin ja mitkä huhut voi jättää omaan arvoonsa.

Lähde: https://phpsos.de/fi/blog/php2shell-was-belegt-ist/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** PHP2Shellin todennettuja tosiasioita ovat kaksi CVE-numeroa, CVSS v4.0 -arvosana 9,2, korjatut PHP-versiot ja php.netin väliaikaistoimet. Todennettu on myös BSI:n (Saksan liittovaltion tietoturvavirasto) oranssi varoitustaso. Todentamattomia ovat CVSS-arvosana 10, laajasti vahvistetut onnistuneet hyökkäykset ja luettelo tunnusmerkeistä. Kun nämä kolme tasoa pidetään erillään, päätökset paranevat.

## Miksi PHP2Shellin faktantarkistus on tarpeen

Harva viime vuosien tietoturva-aukko on tuottanut yhtä nopeasti yhtä paljon otsikoita. Jo ennen kuin PHP-tiimi julkaisi päivitykset 21. lokakuuta 2026, liikkeellä oli raporttien mukaan keskustelupalstojen viestejä, kuvakaappauksia ja väitettyjä yksityiskohtia. Sen jälkeen tulivat viranomaisvaroitukset, valmistajien blogit, laskelmat altistuneista palvelimista ja tulva vinkkejä.

Ylläpitäjille tämä tarkoittaa, ettei jokaisella luvulla ja neuvolla ole samaa laatua. Osa on peräisin ensisijaisista lähteistä, osa vakavasta uutisoinnista, osa on arvailua. Tämä artikkeli lajittelee, mitä voitte käyttää päätöksenteon pohjana varmana tietona. Haavoittuvuuden perusteet selittää sivu [Mikä on PHP2Shell?](https://phpsos.de/fi/php2shell/was-ist-php2shell/).

## Minkä lähteen paino on suurin

Yksinkertainen tärkeysjärjestys auttaa jokaisen ilmoituksen lukemisessa:

1. **php.net:** PHP-projekti on ensisijainen lähde CVE-numeroille, arvosanoille, haavoittuville ajotavoille, korjatuille versioille ja väliaikaistoimille. Miten projekti käsittelee tietoturvailmoituksia yleensä, kuvaa artikkelimme [PHP:n tietoturvaprosessista](https://phpsos.de/fi/php/php-sicherheitsprozess/).
2. **Viranomaiset:** BSI antaa tilannearvion Saksassa ja toimintasuositukset, CERT-EU ja CERT-Bund (Saksan valtion CERT) täydentävät.
3. **Jakelut ja palveluntarjoajat:** Debian, Ubuntu, Red Hat, hosting-yritykset ja alustapalvelut voivat sitovasti kertoa vain omista paketeistaan ja palveluistaan.
4. **Tietoturvayritykset:** Cloudflare, Unit 42, CybelAngel ja muut raportoivat omista mittauksistaan. Arvokasta, mutta kullakin on oma menetelmänsä.
5. **Media ja sosiaalinen media:** Hyviä nopeudessa, heikkoja yksityiskohdissa. Niiden väitteet tarvitsevat vahvistuksen ylempää.

## Todennettu, raportoitu, todentamaton: yleiskatsaus

Seuraava taulukko luokittelee yleisimmät väitteet. ”Todennettu” tarkoittaa: ensisijainen lähde tai viranomainen. ”Raportoitu” tarkoittaa: medioista tai valmistajien ilmoituksista, ei riippumattomasti vahvistettu.

| Väite | Luokitus | Perusta |
|---|---|---|
| Kaksi haavoittuvuutta, CVE-2026-109618 ja CVE-2026-109619 | todennettu | php.net |
| Arvosana CVSS v4.0 9,2, kriittinen | todennettu | php.net |
| Arvosana CVSS 10 | ei kestä | raporttien mukaan keskustelupalstan viestistä ennen ilmoitusta |
| Korjattu versioissa 8.5.12, 8.4.27, 8.3.36, 8.2.35 | todennettu | php.net |
| mod_php suurimmassa riskissä, hyökkäys osoitettu ennen sovelluskoodia | todennettu | php.net |
| Lähes kaikki versiot PHP 5.4:ään asti alttiita | raportoitu | ammattilehdistö |
| Ensimmäinen hyökkäysyritys 17.10. | raportoitu | mediaraportit Amazonin tietoihin vedoten |
| Yli 22,6 milj. altistunutta instanssia | raportoitu | Unit 42, TechTargetin mukaan |
| Onnistuneet hyökkäykset laajasti | todentamaton | BSI:n mukaan aluksi ei tiedossa |
| Vahvistetut Indicators of Compromise | ei ole | ei julkaisua |
| Väliaikaistoimet suojaavat kokonaan | väärin | php.net kuvaa ne nimenomaisesti puutteellisiksi |

Huomionarvoista on, kuinka aikaisin luvut itsenäistyvät. Keskustelupalstan arvosana 10,0 ilmestyi vielä päiviä myöhemmin artikkeleihin, vaikka PHP-tiimi oli jo kauan sitten julkaissut arvosanan 9,2.

## Missä epävarmuus todella on

Suurin avoin kysymys ei ole tekninen vaan ajallinen: mitä on tapahtunut ensimmäisen raportoidun hyökkäysyrityksen ja yksittäisen palvelimen päivityksen välillä? Siihen ei ole yleistä vastausta. Cloudflare ja Patchstack raportoivat hyökkäysyrityksistä, watchTowr on omien tietojensa mukaan toistanut CVE-2026-109618:n. Huntress taas ei ilmoituksensa hetkellä havainnut hyökkäyksiä kumppaniympäristöissä.

Nämä väitteet eivät ole ristiriidassa keskenään. Ne kuvaavat eri otteita: suurta välityspalvelua, lisäosien tietoturvayritystä, tutkimusryhmää ja yritystä, jolla on oma asiakaskunta. Kokonaiskuvaa niistä ei muodostu.

Sama koskee kysymystä, mitkä versiot ovat alttiita. Haaroille 8.2–8.5 tilanne on selvä. Vanhemmille haaroille on olemassa minimaaliset lähdekoodin backportit versioille 7.4, 8.0 ja 8.1, mutta ei virallisia julkaisuja. Kaikki sitä vanhemmat versiot ovat ammattilehdistön mukaan lähes poikkeuksetta alttiita. Suunnittelunne kannalta sillä on vain vähän merkitystä: palvelin, jossa on PHP 8.1 tai vanhempi ilman vahvistettua backportia, on käsiteltävä vaarantuneena.

> **Tärkeää:**
> Hyökkäyksiä koskevien todisteiden puuttuminen ei ole todiste turvallisuudesta. Koska vahvistettuja tunnusmerkkejä ei ole, hyökkäystä yksittäiseen palvelimeen voi arvioida vain toimintaa tarkastamalla, ei luettelon avulla.

## Mitä tästä seuraa palvelimillenne

Todennetuista tosiasioista seuraa muutamia selkeitä toimia. Todentamattomista seuraa ennen kaikkea varovaisuus.

1. **Tarkistakaa korjaustila:** korjattu versio tai palveluntarjoajan vahvistama backport. Pelkkä näytetty versionumero ei riitä.
2. **Käynnistäkää kaikki PHP-prosessit uudelleen:** Uudet tiedostot vaikuttavat vasta, kun vanhoja prosesseja ei enää ole käynnissä.
3. **Tallentakaa lokit 20.10. alkaen:** Ammattilehdistö suosittelee tätä, jotta myöhempi tarkastus pysyy mahdollisena.
4. **Tarkistakaa jäljet:** Uudet PHP-tiedostot upload-kansioissa, tuntemattomat cron-työt, verkkopalvelimen prosessit, joilla on shell. Sivu [Olenko jo vaarantunut?](https://phpsos.de/fi/php2shell/bin-ich-gehackt-anzeichen/) opastaa tarkistuksessa.
5. **Tarkistakaa neuvot vertaamalla:** Toteuttakaa keskustelupalstojen ja sosiaalisen median vinkkejä vain, jos ne voi jäljittää php.netiin tai viranomaiseen. Mitkä suositukset juuri nyt vahingoittavat, kokoaa artikkeli [Vaaralliset vääränlaiset vinkit PHP2Shellistä](https://phpsos.de/fi/blog/gefaehrliche-falschtipps/).

Sisäisessä viestinnässä auttaa sama erottelu. Kun johdolle esitetään ”todennettu”, ”raportoitu” ja ”avoin” erikseen, vältetään sekä liioittelu että väärä hälytyksen purkaminen.

## Miten PHP SOS auttaa konkreettisesti?

- **Tilanne järjestelmillenne:** Siirrämme todennetut tosiasiat teidän palvelimiinne ja erotamme dokumentaatiossa, mikä on mitattu, mikä raportoitu ja mikä avointa.
- **Päivitys ja todiste:** Tarkistamme jokaisen PHP-palvelun pakettitilan ja uudelleenkäynnistyksen ja kirjaamme sen kirjallisesti.
- **Jälkien tarkistus:** Tallennamme lokit 20. lokakuuta alkaen ja etsimme poikkeavaa toimintaa, kunnes tapaus on päätetty ja dokumentoitu.
- **Jatkuva arviointi:** Arvioimme uudet ilmoitukset teille ennen kuin niistä tulee toimenpiteitä.

Toimintatavan kuvaa [PHP2Shell-pikaapu](https://phpsos.de/fi/leistungen/php2shell-soforthilfe/).

## Yhteenveto

PHP2Shell on vakava asia, ja se on hyvin todennettu. Juuri siksi asiallinen tarkastelu kannattaa: ensisijaiset lähteet riittävät kaikkiin tärkeisiin päätöksiin. Se, mitä niiden lisäksi liikkuu, on usein nopeampaa kuin tarkkaa. Päivittäminen, uudelleenkäynnistys, lokien tallennus ja jälkien tarkistus pysyvät vastauksena riippumatta siitä, mikä luku kulloinkin kiertää.


## Usein kysytyt kysymykset

**Onko PHP2Shellin CVSS-arvosana 10?**  
Ei ole. Luku 10 on raporttien mukaan peräisin keskustelupalstan viestistä, joka levisi ennen virallista ilmoitusta. PHP-tiimi arvioi molemmat haavoittuvuudet CVSS v4.0 -pisteillä 9,2. Se kuuluu silti kriittiseen luokkaan.

**Onko olemassa luetteloa PHP2Shell-hyökkäysten tunnusmerkeistä?**  
Toistaiseksi ei. Julkaistuja, vahvistettuja Indicators of Compromise -tunnisteita ei ole. Jos haluatte selvittää, onko palvelin ollut kohteena, teidän on seurattava poikkeavaa toimintaa, esimerkiksi verkkopalvelimen prosesseja, jotka käynnistävät shellin, tai uusia PHP-tiedostoja upload-kansioissa.

**Mikä lähde on PHP2Shellin osalta luotettavin?**  
Teknisissä tosiasioissa php.net-ilmoitukset, tilannearviossa Saksassa BSI. Mediaraportit ja valmistajien blogit täydentävät kuvaa, mutta ne tulee merkitä raporteiksi ja lukea ensisijaista lähdettä vasten.

**Koskeeko haavoittuvuus todella kaikkia PHP-versioita alkaen versiosta PHP 5?**  
Tilanne on todennettu haaroille 8.2–8.5, joille päivitykset ovat saatavilla. Ammattilehdistön mukaan lähes kaikki versiot PHP 5.4:ään asti ovat alttiita; CERT-EU piti raporttien mukaan mahdollisena versioita PHP 5:stä alkaen. Vanhemmille versioille ei ole virallisia päivityksiä, joten niitä tulee joka tapauksessa pitää vaarantuneina.

## Lähteet

- [php.net: tietoturvatiedotteet](https://www.php.net/)
- [BSI: Saksan liittovaltion tietoturvavirasto](https://www.bsi.bund.de/)
- [BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws](https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)