Lyhyesti: PHP2Shell on kaksi kriittistä haavoittuvuutta itse PHP:ssä, joiden kautta hyökkääjät voivat suorittaa haittakoodia ilman kirjautumista. Jos tarvitsette nopeasti apua tähän PHP-haavoittuvuuteen, hoidamme etänä kartoituksen, korjauksen tai väliaikaisen toimenpiteen, kaikkien PHP-prosessien uudelleenkäynnistyksen ja ensimmäisen jälkien etsinnän. Lopuksi saatte kirjallisen todisteen tilasta.
Apua PHP-haavoittuvuuteen: miksi nyt on toimittava
PHP-projekti julkaisi 21.10.2026 kello 16 Saksan aikaa korjaukset haavoittuvuuksiin CVE-2026-109618 ja CVE-2026-109619. Molempien CVSS v4.0 -pistemäärä on 9.2, ja ne sallivat haittakoodin suorittamisen etänä ilman kirjautumista. Haavoittuvia ovat tavalliset ajotavat: PHP-FPM, Apache mod_php:n kanssa, php-cgi, FrankenPHP ja LiteSpeed.
BSI on antanut varoitustason 3 (oranssi). Se suosittelee päivittämään välittömästi ja, jos se ei heti onnistu, ottamaan verkkopalvelimet tilapäisesti pois verkosta. Palo Alto Networks (Unit 42) laski yli 22,6 miljoonaa julkisesti tavoitettavissa olevaa, mahdollisesti haavoittuvaa instanssia. Vahvistettuja onnistuneita laajoja hyökkäyksiä ei BSI:n mukaan aluksi tunnettu, mutta Cloudflare ilmoitti jo hyökkäysyrityksistä.
Johdolle ja omistajille tämä tarkoittaa: jokainen julkisesti tavoitettavissa oleva PHP-palvelin on mahdollinen kohde, kunnes toisin osoitetaan. Ymmärrettävän selityksen haavoittuvuudesta löydätte sivulta Mikä on PHP2Shell?.
Kenelle PHP2Shell-pikaapu on tarkoitettu?
Yrityksille, toimistoille ja julkisille tahoille, jotka ylläpitävät PHP-sovelluksia ja jotka eivät voi tai halua käydä tilannetta läpi yksin tarvittavalla syvyydellä. Tämä koskee omia root-palvelimia ja vServereitä samoin kuin Plesk- tai cPanel-palvelimia, konttiympäristöjä ja hallinnoituja palvelimia, joissa vastuu on epäselvä.
Myös hosting-yrityksen asiakas tarvitsee usein tukea. Moni palveluntarjoaja asentaa backporteja; silloin esimerkiksi Plesk näyttää yhä versiota 8.2.34, vaikka paketti on korjattu. Toisaalta uusi versionumero voi näkyä, vaikka vanhat PHP-prosessit ovat yhä muistissa. Mitkä tilat katsotaan korjatuiksi, kerrotaan sivulla Mitkä PHP-versiot ovat haavoittuvia?.
Miten PHP SOS auttaa konkreettisesti?
- Kartoitus: Kokoamme kaikki PHP-asennukset, ajotavat ja versiot palvelimiltanne, mukaan lukien paketin tila ja käynnissä olevat prosessit. Tuloksena on luettelo siitä, mitkä järjestelmät ovat haavoittuvia, korjattuja tai epäselviä.
- Korjaus tai väliaikainen toimenpide: Mahdollisuuksien mukaan asennamme korjatut versiot (8.5.12, 8.4.27, 8.3.36, 8.2.35) tai jakelunne paketit. Jos se ei heti onnistu, otamme käyttöön php.netin mukaiset väliaikaiset toimenpiteet ja kerromme avoimesti, etteivät ne anna täyttä suojaa.
- Uudelleenkäynnistys ja tarkistus: Käynnistämme kaikki PHP-workerit ja -prosessit uudelleen ja tarkistamme sen jälkeen, ettei vanhoja prosesseja ole enää käynnissä. Pelkät uudet tiedostot eivät sulje haavoittuvuutta.
- Ensimmäinen jälkien etsintä: Turvaamme palvelinlokit 20.10. alkaen ja etsimme poikkeamia, kuten uusia PHP-tiedostoja, tuntemattomia cron-tehtäviä tai epätavallisia prosesseja. Koska vahvistettuja, julkaistuja Indicators of Compromise -tunnisteita ei ole, tämä tarkistus perustuu käyttäytymisanalyysiin.
- Todiste ja seuraavat vaiheet: Saatte kirjallisen raportin. Jos on epäilys vaarantumisesta, suosittelemme sopivia jatkotoimia, esimerkiksi haittaohjelman poistoa tai forensista tutkimusta.
Korjaus ei poista jo asennettua haittaohjelmaa eikä todista, ettei aiemmin ole tapahtunut mitään. Siksi pikaapuun kuuluu aina katsaus ajanjaksoon 17.10.2026 alkaen.
Mitä saatte meiltä
- yleiskatsaus kaikista tarkistetuista palvelimista: PHP-versio, paketin tila, ajotapa ja korjaustila
- dokumentaatio asennetuista päivityksistä tai käyttöön otetuista väliaikaisista toimenpiteistä
- todiste siitä, että kaikki PHP-prosessit on käynnistetty uudelleen
- arvio jälkien etsinnästä, eroteltuna todennettuun, todennäköiseen ja tuntemattomaan
- luettelo avoimista kohdista, esimerkiksi järjestelmät, joissa on PHP 8.1 tai vanhempi
Tämän raportin voitte antaa johdolle, tietosuojavastaaville tai vakuutusyhtiölle. Oikeudellista arviointia se ei korvaa.
Mitä tarvitsemme teiltä
- Pääsy: SSH- tai paneelitunnukset riittävin oikeuksin, vaihtoehtoisesti lupa hosting-yrityksellenne antaa meille tietoja
- Yhteyshenkilö: henkilö, jolla on valtuudet päättää esimerkiksi lyhyestä offline-tilasta tai uudelleenkäynnistyksestä
- Yleiskuva: mitkä verkkosivustot, verkkokaupat ja sovellukset toimivat millä palvelimilla
- Huoltoikkuna: toiveenne siitä, milloin uudelleenkäynnistykset saa tehdä
- Varmuuskopiot: tieto siitä, missä ajantasaiset varmuuskopiot sijaitsevat
Ylläpitäjille, jotka haluavat tarkistaa tilanteen ensin itse, riittää usein tämä vaaraton katsaus:
php -v
# Debian/Ubuntu: asennetut PHP-paketit versioineen
dpkg -l | grep -i php
# käynnissä olevat PHP-prosessit ja niiden käynnistysaika
ps -eo pid,lstart,cmd | grep -i php
Mitä emme lupaa
Emme lupaa ehdotonta turvallisuutta emmekä väitä, ettei palvelimeenne ole koskaan hyökätty, jos todisteet eivät sitä tue. Työskentelemme tapauksen parissa, kunnes se on päätetty ja dokumentoitu. Siitä, onko GDPR:n mukaista ilmoitusvelvollisuutta tai pitääkö vakuutusyhtiölle ilmoittaa, selvittäkää tietosuojavastaavan, lakimiehen tai vakuutusyhtiön kanssa. Me toimitamme siihen tekniset tosiasiat.
Jos tarvitsette vain päivityksen todisteineen, sopii PHP-korjauspalvelumme. Jos hyökkäyksestä on jo merkkejä, oikea aloituskohta on hätäapu hakkeroituun verkkosivustoon.
Usein kysytyt kysymykset
Riittääkö, että hosting-yritykseni on päivittänyt PHP:n?
Se voi riittää, jos hosting-yritys vahvistaa paketin tilan kirjallisesti ja kaikki PHP-prosessit on käynnistetty uudelleen. Näytetty versionumero ei yksin ole todiste, koska jakelut asentavat backporteja. Siihen, onko palvelimeen hyökätty jo aiemmin, korjaus ei vastaa.
Pitääkö verkkosivustoni ottaa pois verkosta pikaavun ajaksi?
Ei välttämättä. BSI (Saksan liittovaltion tietoturvavirasto) suosittelee ottamaan verkkopalvelimet tilapäisesti pois verkosta, jos päivitystä ei voi tehdä heti. Tarvitaanko sitä teillä, päätämme yhdessä kartoituksen jälkeen.
Suojaako WordPressin tai Shopwaren päivitys PHP2Shelliltä?
Ei. PHP2Shell on PHP:ssä itsessään, ei sisällönhallintajärjestelmässä. CMS-päivitys on edelleen järkevä, mutta se ei sulje tätä haavoittuvuutta.
Mitä tapahtuu, jos käytössä on PHP 8.1 tai vanhempi?
Näille versioille PHP-projekti ei enää julkaise virallisia päivityksiä, vain vähäisiä lähdekoodin backporteja versioille 7.4, 8.0 ja 8.1. Suojaamme palvelimen väliaikaisesti ja suunnittelemme kanssanne siirtymän tuettuun versioon.