Lyhyesti: BSI (Saksan liittovaltion tietoturvavirasto) on julistanut PHP2Shellistä varoitustason 3 (oranssi). Suositus on yksiselitteinen: päivitä PHP heti ja, jos se ei onnistu heti, ota koskeneet verkkopalvelimet tilapäisesti pois verkosta. BSI odotti nopeaa laajamittaista hyödyntämistä; vahvistettuja laajamittaisia onnistuneita hyökkäyksiä ei aluksi tiedetty.
BSI:n PHP-varoitus lyhyesti
Bundesamt für Sicherheit in der Informationstechnik (BSI) on Saksan keskeinen kyberturvallisuuden asiantuntijaviranomainen. Se on julkaissut PHP2Shellistä tason 3 (oranssi) varoituksen. Syynä ovat kaksi kriittistä haavoittuvuutta itse PHP:ssä: CVE-2026-109618 ja CVE-2026-109619, kumpikin arvioitu CVSS v4.0 -pisteillä 9.2. Niiden avulla hyökkääjät voivat suorittaa haittakoodia palvelimella ilman kirjautumista.
Varoituksen keskeiset väitteet voi tiivistää näin:
| Väite | Merkitys ylläpitäjille |
|---|---|
| Varoitustaso 3 / oranssi | vakava tilanne, toimia tarvitaan |
| Välitön päivitys suositeltu | asenna korjatut PHP-versiot |
| Muuten tilapäisesti pois verkosta | aseta tavoitettavuus suojan alle |
| Nopeaa laajamittaista hyödyntämistä odotetaan | älä odota ensimmäisiä vahinkoilmoituksia |
| Onnistuneita hyökkäyksiä laajalti ei aluksi vahvistettu | ei syytä luulla vaaran ohitse |
Kulloinkin ajantasaisen version löydät BSI:n verkkosivustolta.
Mitä ”päivitä heti” tarkoittaa käytännössä
PHP-projekti julkaisi 21.10.2026 klo 14.00 UTC (klo 16 Saksan aikaa) korjatut versiot: PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1:lle ja sitä vanhemmille ei ole enää virallisia päivityksiä, vain vähäisiä lähdekoodin backporteja versioille 7.4, 8.0 ja 8.1.
Päivitys on voimassa vasta, kun kaikki PHP-prosessit on käynnistetty uudelleen. Uudet tiedostot eivät yksin riitä, niin kauan kuin vanhat workerit pyörivät muistissa. Lisäksi pätee: jakelut ja hosting-yritykset asentavat korjauksia osittain backport-korjauksina. Silloin esimerkiksi Plesk näyttää yhä 8.2.34:n, vaikka korjaus on tehty. Ratkaisevia ovat pakettitila ja palveluntarjoajan vahvistus. Ja CMS-päivitys, esimerkiksi WordPressin, ei sulje PHP-haavoittuvuutta.
Jos päivitystä ei voi tehdä heti
Tätä varten BSI suosittelee ottamaan verkkopalvelimet tilapäisesti pois verkosta. Se on ankara toimenpide, mutta selkeä. Monelle yritykselle suunniteltu muutaman tunnin katko on vähemmän haitallinen kuin murto tietovuotoineen.
php.net mainitsee lisäksi väliaikaisia toimenpiteitä, jotka pienentävät riskiä mutta eivät nimenomaisesti tarjoa täydellistä suojaa. Niihin kuuluvat session.upload_progress.enabled=0 palvelinkonfiguraatiossa, rajatut post_max_size-arvot, muistirajat konteilla tai cgroupeilla ja PHP 8.5:ssä fatal_error_backtraces=0, kukin sen jälkeen kaikkien workerien uudelleenkäynnistyksellä. Yksityiskohdat ovat sivulla Pikatoimet ilman korjausta.
Jos julkisesti tavoitettavissa oleva verkkopalvelin pyörii yhä korjaamattomalla PHP:llä ja ilman väliaikaisia toimenpiteitä, BSI:n suosituksesta seuraa: ota palvelin pois verkosta, kunnes päivitys on asennettu ja kaikki prosessit käynnistetty uudelleen.
Tilanteen arviointi
BSI ei ole arvionsa kanssa yksin. Cloudflare ilmoitti havaituista hyökkäysyrityksistä ja otti käyttöön suojasääntöjä, mutta varoittaa, etteivät pelkkiin pyyntötietoihin perustuvat säännöt riitä. Palo Alto Networks (Unit 42) laski yli 22,6 miljoonaa altistunutta, mahdollisesti haavoittuvaa instanssia. Mediatietojen mukaan ensimmäinen hyökkäysyritys havaittiin jo 17.10.2026, eli ennen korjausten julkaisua.
Ylläpitäjille tästä seuraa asiallinen arvio: joka ei ole tähän päivään mennessä korjannut, kannattaa paitsi korjata myös tarkistaa, onko jo tapahtunut jotakin. Korjaus ei poista asennettua haittaohjelmaa. Julkaistuja, vahvistettuja Indicators of Compromise -tunnisteita ei ole; havaitseminen perustuu käyttäytymisanalyysiin. Ammattilehdistö neuvoo säilyttämään palvelinlokit 20.10.2026 alkaen. Vinkkejä etsintään on sivulla Onko järjestelmäni jo murrettu?.
Mitä suositus tarkoittaa vastuuhenkilöille
BSI:n varoitus ei ole laki. Se on kuitenkin toimivaltaisen asiantuntijaviranomaisen arvio, ja sillä voi olla merkitystä päätösten myöhemmässä arvioinnissa, esimerkiksi vakuutusyhtiöiden tai tarkastajien toimesta. Johdon kannattaa siksi dokumentoida, milloin se sai varoituksesta tiedon, miten se arvioi omat järjestelmänsä ja mitä toimenpiteitä se toteutti. Yleisiä ohjeita on sivulla Johdon vastuu; tämä ei ole oikeudellista neuvontaa.
Käytännössä varoitusta ei kannata lukea vain kerran. BSI päivittää ilmoituksiaan, kun tilanne muuttuu, esimerkiksi uusien havaintojen myötä hyödyntämisestä tai muista haavoittuvuuksista. Lisäksi 23.10.2026 alkaen on olemassa php.net:n tiedote haavoittuvuudesta CVE-2026-115560, joka koskee vain epätavallisia konfiguraatioita ja jonka vaikutusta lievennetään myös asetuksella session.upload_progress.enabled=0. Nimeä henkilö, joka tarkistaa BSI:n ja php.net:n päivittäin tilanteen päättymiseen asti ja välittää muutokset tekniikalle ja johdolle. Näin päättäjien ja toteuttajien välille ei synny tietokuilua.
Miten PHP SOS auttaa konkreettisesti?
- Vertaamme verkkopalvelimenne BSI:n suositukseen: versio, pakettitila, uudelleenkäynnistys, tavoitettavuus.
- PHP2Shell-pikaavun puitteissa korjaamme, käynnistämme kaikki prosessit uudelleen ja toimitamme todisteen.
- Missä päivitys ei onnistu heti, asetamme väliaikaiset toimenpiteet ja tarvittaessa tarjoamme staattisen korvaavan sivun.
- Turvaamme lokit ja tarkistamme jäljet, jotta voit arvioida tilanteen korjauksen jälkeen luotettavasti.
Usein kysytyt kysymykset
Mitä BSI:n varoitustaso 3 (oranssi) tarkoittaa?
Väri kuvaa kohonnutta, vakavaa uhkatilannetta, jossa tarvitaan toimia. PHP2Shellin kohdalla BSI perustelee tätä haavoittuvuuksien kriittisyydellä ja odotetulla nopealla hyödyntämisellä. Tasojen tarkan määritelmän löydät BSI:n verkkosivustolta.
Pitääkö minun noudattaa BSI:n suositusta?
BSI:n varoitus on suositus, ei laki. Se on kuitenkin toimivaltaisen asiantuntijaviranomaisen painava arvio, johon vakuutusyhtiöt, tarkastajat ja tuomioistuimet voivat nojata. Joka poikkeaa siitä, kannattaa dokumentoida syyt. Tämä ei ole oikeudellista neuvontaa.
Oliko BSI:n mukaan jo onnistuneita hyökkäyksiä?
Vahvistettuja laajamittaisia onnistuneita hyökkäyksiä ei BSI:n mukaan aluksi tiedetty. BSI kuitenkin odotti nopeaa laajamittaista hyödyntämistä. Muut tahot ilmoittivat jo hyökkäysyrityksistä.
Mistä löydän varoituksen ajantasaisen version?
BSI:n verkkosivustolta ajankohtaisten tietoturvavaroitusten alta. Tilanne voi muuttua; tarkista uusin tila siellä ja php.net-sivustolta säännöllisesti.