Usein kysytyt kysymykset
Lyhyet vastaukset. Yksityiskohtaisempaa tietoa löytyy linkitetyiltä tietosivuilta.
Mitä PHP2Shell on?
PHP2Shell tarkoittaa kahta kriittistä haavoittuvuutta itse PHP:ssä (CVE-2026-109618 ja CVE-2026-109619, CVSS 9.2). Ne voivat sallia hyökkääjille haittakoodin suorittamisen palvelimella ilman kirjautumista. Korjaukset ovat saatavilla 21.10.2026 alkaen.
Mitkä PHP-versiot ovat turvallisia?
Korjaukset sisältyvät versioihin PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Hosting-yritykset ja jakelut tuovat joskus korjaukset vanhempiin versioihin (backport) muuttamatta versionumeroa. Ratkaisevaa on paketin tila tai palveluntarjoajan kirjallinen vahvistus.
Riittääkö WordPress- tai verkkokauppapäivitys?
Ei. Haavoittuvuus on PHP:ssä, ei sisällönhallintajärjestelmässä. CMS-päivitys ei sulje sitä. Eikä PHP-korjaus poista haittakoodia, joka on ehditty jo aiemmin lisätä.
Kuinka nopeasti voitte auttaa?
Työskentelemme etänä ja aloitamme heti, kun tunnukset ovat käytettävissä. Kirjoittakaa meille WhatsAppilla järjestelmä, PHP-versio ja havaintonne. Sovimme sitten toimintatavasta suoraan.
Työskenteletteko myös toimistoille ja hosting-asiakkaille?
Kyllä. Työskentelemme suoraan yritysten kanssa, toimistojen toimeksiannosta taustalla sekä yhteistyössä hosting-palveluntarjoajanne kanssa, jos se hallinnoi palvelinta.
Onko tapauksesta ilmoitettava?
Jos henkilötiedot voivat olla vaarantuneet, GDPR:n 33 artiklan mukaan ilmoitusaika on yleensä 72 tuntia tiedon saamisesta. Sovelletaanko sitä tapaukseenne, selvittäkää tietosuojavastaavanne kanssa. Me toimitamme siihen tarvittavan teknisen dokumentaation.
Onko PHP2Shell WordPress-haavoittuvuus?
Ei. Haavoittuvuudet ovat PHP:ssä eli ohjelmointikielessä, jolla WordPress, Shopware, TYPO3 ja monet muut järjestelmät toimivat. CMS-päivitys ei siksi sulje niitä. Ratkaisevaa on palvelimen PHP-tila.
Pitääkö hosting-yrityksen asiakkaana tehdä itse jotain?
Jaetussa hostingissa PHP-päivityksen asentaa yleensä hosting-yritys. Teidän kannattaa silti pyytää kirjallinen vahvistus siitä, että käyttämänne PHP-versio on korjattu ja käynnistetty uudelleen. Siihen, tapahtuiko jotain ennen korjausta, päivitys ei vastaa.
Mistä nimi PHP2Shell tulee?
Nimi kuvaa seurausta: PHP:n kautta hyökkääjä voi pahimmillaan saada palvelimelle komentorivin eli shellin. Viralliset tunnisteet ovat CVE-numerot CVE-2026-109618 ja CVE-2026-109619.
Onko verkkosivustoani jo hyökätty, jos se otettiin pois verkosta?
Ei välttämättä. Jotkin palveluntarjoajat ovat ottaneet verkkosivustoja varotoimena pois verkosta, kuten BSI (Saksan liittovaltion tietoturvavirasto) suosittelee, jos päivitystä ei voi tehdä heti. Se on suojatoimi eikä todiste hyökkäyksestä.
Riittääkö, että hosting-yritykseni on päivittänyt PHP:n?
Se voi riittää, jos hosting-yritys vahvistaa paketin tilan kirjallisesti ja kaikki PHP-prosessit on käynnistetty uudelleen. Näytetty versionumero ei yksin ole todiste, koska jakelut asentavat backporteja. Siihen, onko palvelimeen hyökätty jo aiemmin, korjaus ei vastaa.
Pitääkö verkkosivustoni ottaa pois verkosta pikaavun ajaksi?
Ei välttämättä. BSI (Saksan liittovaltion tietoturvavirasto) suosittelee ottamaan verkkopalvelimet tilapäisesti pois verkosta, jos päivitystä ei voi tehdä heti. Tarvitaanko sitä teillä, päätämme yhdessä kartoituksen jälkeen.
Suojaako WordPressin tai Shopwaren päivitys PHP2Shelliltä?
Ei. PHP2Shell on PHP:ssä itsessään, ei sisällönhallintajärjestelmässä. CMS-päivitys on edelleen järkevä, mutta se ei sulje tätä haavoittuvuutta.
Mitä tapahtuu, jos käytössä on PHP 8.1 tai vanhempi?
Näille versioille PHP-projekti ei enää julkaise virallisia päivityksiä, vain vähäisiä lähdekoodin backporteja versioille 7.4, 8.0 ja 8.1. Suojaamme palvelimen väliaikaisesti ja suunnittelemme kanssanne siirtymän tuettuun versioon.
Mistä alkaen 72 tuntia kuluvat?
GDPR:n 33 artiklan mukaan siitä hetkestä, kun rekisterinpitäjä on saanut loukkauksesta tiedon. Milloin tämä yksittäistapauksessa katsotaan tapahtuneeksi, on oikeudellinen arvio. Dokumentoi siksi tarkasti, kuka sai minkä tiedon ja milloin.
Pitääkö jokaisesta tietoturva-aukosta ilmoittaa?
Ei. Pelkkä haavoittuvuus ei vielä ole henkilötietojen suojan loukkaus. Ilmoitusvelvollisuus voi syntyä, jos on viitteitä siitä, että oikeudettomilla oli tai saattoi olla pääsy tällaisiin tietoihin ja siitä aiheutuu riski rekisteröidyille.
Mitä jos en tiedä kaikkea 72 tunnin jälkeen?
GDPR:n 33 artiklan 4 kohta sallii tietojen toimittamisen vaiheittain, jos niitä ei voida antaa samaan aikaan. Myöhästynyt ilmoitus on perusteltava. Täydellisen selkeyden odottaminen ei siksi yleensä ole syy antaa määräajan kulua.
Kuka ilmoittaa, jos hosting-yritys oli osallisena?
Ilmoitusvelvollinen on rekisterinpitäjä, eli yleensä verkkosivustoa ylläpitävä yritys. Henkilötietojen käsittelijän, kuten hosting-yrityksen, on GDPR:n 33 artiklan 2 kohdan mukaan ilmoitettava rekisterinpitäjälle viipymättä.
Mihin tietosuojaloukkaus ilmoitetaan?
Toimivaltaiselle tietosuojan valvontaviranomaiselle; yrityksillä Saksassa yleensä sen osavaltion viranomaiselle, jossa yrityksellä on kotipaikka. Useimmat viranomaiset tarjoavat siihen verkkolomakkeet.
Jokainen tunti on tärkeä. Kirjoittakaa meille nyt.
Kuvatkaa lyhyesti järjestelmä, PHP-versio ja havainnot. Otamme yhteyttä, selvitämme tilanteen ja työskentelemme etänä, kunnes tapaus on käsitelty loppuun ja dokumentoitu.