Lyhyesti: IT-tietoturvapalvelun tilaaminen kannattaa, kun on merkkejä tunkeutumisesta, käytössä on vanhoja PHP-versioita ilman virallista päivitystä, sisäisesti puuttuu aikaa tai asiantuntemusta tai oikeudellisia kysymyksiä on mukana. Jos verkkosivustonne on hosting-yrityksellä, joka vahvistaa korjauksen ja uudelleenkäynnistyksen kirjallisesti, tai oma IT:nne voi päivittää tuetun PHP-tilan itse ja tarkistaa sen, ette PHP2Shellin vuoksi usein tarvitse ulkopuolista apua.
Kysymys, jota moni nyt pohtii
21.10.2026 jälkeisellä viikolla monet yritykset katsoivat ensimmäistä kertaa tarkemmin, kuka verkkopalvelimia oikeastaan hoitaa. Tulos oli usein hämmentävä: toimisto vastaa sisällöistä, hosting-yritys laitteistosta, ja vanhan virtuaalipalvelimen PHP-versiota ei kukaan tunne tarkasti.
Samalla pätee: kaikki yritykset eivät tarvitse tässä tilanteessa tietoturvapalveluntarjoajaa. Joka tarkistaa rehellisesti, mitä talon sisällä pystytään tekemään, säästää rahaa ja pitää hallinnan. Joka yliarvioi itsensä, riskeeraa, että tunkeutuminen jää huomaamatta. Tämä kirjoitus auttaa arvioimaan tilannetta yrittämättä myydä teille mitään, mitä ette tarvitse.
Korjaatteko itse vai tilaatteko IT-tietoturvapalvelun: perusteet
| Kriteeri | Korjaa itse | Tilaa palveluntarjoaja |
|---|---|---|
| Hosting-malli | Jaettu hosting tai hallinnoitu hosting vahvistetulla korjauksella | Oma palvelin ilman ylläpitoa, epäselvä vastuu |
| PHP-versio | 8.2–8.5, virallinen päivitys tai jakelun backport saatavilla | 8.1 tai vanhempi, vain lähdekoodin backportit tai kolmannen osapuolen lähteet |
| Järjestelmien määrä | Yksi tai muutama verkkosivusto, hyvin dokumentoitu | Monta palvelinta, sekaympäristöt, kontit |
| Sisäinen osaaminen | Ylläpitäjä palvelinoikeuksin, kokemusta pakettienhallinnasta ja uudelleenkäynnistyksistä | Kukaan ei ole käytettävissä pääsyn tai kokemuksen kanssa |
| Merkit tunkeutumisesta | Ei poikkeamia tarkastuksen jälkeen | Tuntemattomia tiedostoja, prosesseja, tilejä tai yhteyksiä |
| Henkilötiedot | Ei arkaluonteisia tietoja järjestelmässä | Asiakastiedot, terveys- tai maksutiedot |
| Vakuutus ja ilmoitusvelvollisuudet | Ei kosketuspintaa | Vakuutusyhtiö tai tietosuoja on otettava mukaan |
| Todistustarve | Sisäinen muistiinpano riittää | Raportti johdolle, auditointiin tai vakuutusyhtiölle tarpeen |
Jos tilanteessanne useampi rivi pätee oikeassa sarakkeessa, ulkopuolinen apu on hyvin perusteltu. Jos oikea sarake pätee vain kohdassa ”Todistustarve”, kohdennettu tuki dokumentointiin riittää usein.
Itsearviointi seitsemällä kysymyksellä
Vastatkaa kysymyksiin kyllä tai ei. Jokainen ei on vihje siitä, missä saatatte tarvita apua.
- Tiedättekö jokaisesta verkkosivustosta, millä palvelimella ja millä PHP-versiolla se toimii?
- Pystyttekö todistamaan, että tämä tila on korjattu CVE-2026-109618:aa ja CVE-2026-109619:ää vastaan, esimerkiksi paketin muutoslokin avulla? Ohje on sivulla PHP-version ja korjaustilan tarkistaminen oikein.
- Onko talossa joku, jolla on oikeudet ja osaaminen päivittää PHP ja käynnistää kaikki työprosessit uudelleen?
- Onko teillä hosting-yrityksellä olevista verkkosivustoista kirjallinen vahvistus korjauksesta ja uudelleenkäynnistyksestä? Mallin tarjoaa sivu Näin kysytte hosting-yritykseltänne korjaustilaa.
- Onko joku etsinyt poikkeamia 17.10.2026 alkaen, esimerkiksi uusia PHP-tiedostoja upload-kansioista tai tuntemattomia cron-töitä?
- Onko palvelinlokit turvattu 20.10.2026 alkaen?
- Onko olemassa henkilö, joka saa päättää tilapäisestä sulkemisesta ja joka on tavoitettavissa?
Seitsemän kyllä tarkoittaa: olette hyvin varustautuneet. Yksi tai kaksi eitä voi usein paikata sisäisesti. Kolmella tai useammalla ei:llä, erityisesti kysymyksissä 2 ja 5, ulkopuolinen tuki on vakava harkinnan paikka.
Milloin ette nimenomaisesti tarvitse palveluntarjoajaa
On tilanteita, joissa me itse neuvoisimme olemaan käyttämättä rahaa ulkopuoliseen apuun. Yksinkertainen yrityksen verkkosivusto suuren hosting-yrityksen palvelimella, joka on vahvistanut korjauksen, ilman arkaluonteisia tietoja sisältäviä lomakkeita ja ilman poikkeamia, kuuluu niihin. Samoin oma palvelin, jolla on PHP 8.3 tai 8.4 ja jonka ylläpitäjä on asentanut jakelun backportin, käynnistänyt kaikki prosessit uudelleen ja katsonut lokit lyhyesti läpi.
Näissä tapauksissa tärkeintä on lyhyt kirjallinen muistiinpano: mitä tarkistettiin milloin, millä tuloksella? Se auttaa jatkokysymyksissä ja seuraavassa tilanteessa.
Rehellisesti sanottuna siihen kuuluu myös omien rajojen aliarvioimattomuus. Päivityksen asentaminen on monelle ylläpitäjälle rutiinia. Epäilyttävän tiedoston oikea arviointi jälkiä hävittämättä ei yleensä ole. Joka löytää päivittäessään jotain poikkeavaa, kannattaa pysähtyä siihen, olla poistamatta mitään ja päättää uudelleen, jatkaako yksin.
Vaikka hoitaisitte kaiken itse: sopikaa jo tänään, kenelle soittaisitte, jos jotain kuitenkin havaitaan. Hätätilanteessa palveluntarjoajan etsiminen on hukattua aikaa.
Keskitie: jakakaa sen sijaan että luovutatte kaiken
”Kaikki itse” ja ”kaikki ulos” välissä on vaihtoehto, joka toimii monessa yrityksessä parhaiten. Oma tiimi hoitaa sen, minkä tuntee: päivitykset, uudelleenkäynnistykset, yhteydenpidon hosting-yritykseen. Palveluntarjoaja hoitaa sen, mikä vaatii erikoisosaamista tai riippumatonta katsetta, esimerkiksi jälkien tarkistuksen, epäilyn arvioinnin tai raportin vakuutusyhtiölle.
Jotta se onnistuu, käyttöoikeuksien, vastuiden ja tietosuojan on oltava kunnossa. Jos palveluntarjoaja pääsee palvelimille, joilla on henkilötietoja, tarvitaan yleensä henkilötietojen käsittelyä koskeva sopimus; ohjeita löytyy sivulta Henkilötietojen käsittely, kun palveluntarjoaja pääsee palvelimille. Miten löydätte sopivan palveluntarjoajan, kuvaa kirjoitus IT-tietoturvapalveluntarjoajan valinta.
Miten PHP SOS auttaa konkreettisesti?
- Aloitamme lyhyellä tilannekartoituksella ja sanomme avoimesti, jos ette tarvitse meitä.
- Otamme kohdennetusti hoitaaksemme osat, jotka puuttuvat sisäisesti, esimerkiksi jälkien tarkistuksen, vanhat järjestelmät tai todistuksen, ja jätämme loput tiimillenne.
- Työskentelemme etänä antamillanne käyttöoikeuksilla ja dokumentoimme jokaisen vaiheen.
- Akuutissa tarpeessa hoidamme PHP2Shell-pikaavulla tilannekartoituksen, päivityksen, uudelleenkäynnistyksen ja jälkien etsinnän kokonaan.
Yhteenveto
Oikea vastaus kysymykseen ”itse vai palveluntarjoaja?” on harvoin mustavalkoinen. Joka tuntee järjestelmänsä, ylläpitää tuettuja PHP-versioita ja pystyy todistamaan, että päivitys ja uudelleenkäynnistys on tehty, selviää PHP2Shellistä usein yksin. Joka omistaa vanhoja järjestelmiä, epäselviä tiloja tai merkkejä tunkeutumisesta, ei saa epäröidä hakea apua.
Usein kysytyt kysymykset
Milloin minun kannattaa tilata IT-tietoturvapalvelu?
Erityisesti jos on merkkejä tunkeutumisesta, jos käytössä on vanhoja PHP-versioita ilman virallista päivitystä, jos talossa ei ole ketään, jolla olisi palvelinoikeudet ja kokemus, tai jos asia koskee henkilötietoja ja vakuutuskysymyksiä.
Eikö hosting-yritykseni voi vain hoitaa tätä?
Jaetussa hostingissa ja monissa hallinnoiduissa tariffeissa hosting-yritys päivittää PHP:n itse. Pyytäkää korjaustila ja uudelleenkäynnistys kirjallisesti. Sovelluksenne, lisäosien ja jälkien tarkistuksen osalta hosting-yritys ei yleensä ole vastuussa.
Mitä minun pitäisi valmistella, ennen kuin soitan palveluntarjoajalle?
Lista kohteena olevista verkkosivustoista ja palvelimista, pääsytiet, yhteyshenkilöt joilla on päätösvalta ja lyhyt kuvaus siitä, mitä olette huomanneet. Älkää poistako tai muuttako siihen asti mitään, mikä voisi sisältää jälkiä.
Onko olemassa keskitie itse tekemisen ja kaiken ulkoistamisen välillä?
On. Usein oma tiimi hoitaa rutiinin, kuten päivitykset ja uudelleenkäynnistykset, ja palveluntarjoaja jälkien tarkistuksen, arvioinnin tai dokumentoinnin. Tärkeää on selkeä työnjako siitä, kuka tekee mitä.