PHP2Shell: kaikki kriittisestä PHP-haavoittuvuudesta
Kaksi kriittistä haavoittuvuutta itse PHP:ssä, CVSS 9.2, haittakoodi ilman kirjautumista. Tässä kerrotaan, mikä on todennettua, mitkä versiot ovat turvallisia ja mitä teidän kannattaa nyt tehdä.
Mikä on PHP2Shell? Haavoittuvuus selkeästi
PHP2Shell on kaksi kriittistä haavoittuvuutta itse PHP:ssä, joiden kautta hyökkääjät voivat suorittaa koodia verkkopalvelimilla ilman kirjautumista. Tilanne selkeästi.
Lue lisää →02CVE-2026-109618: RCE Out-of-Memory-tilan kautta
CVE-2026-109618 on toinen PHP2Shell-haavoittuvuuksista: Out-of-Memory-tila voi keskeyttää PHP:n kesken pyynnön käsittelyn. Korjattu versioissa PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.
Lue lisää →03CVE-2026-109619: RCE vanhentuneen globaalin tilan kautta
CVE-2026-109619 on toinen PHP2Shell-haavoittuvuus: pyynnön sisäinen tila voi säilyä muistin vapauttamisen jälkeen, ja saman workerin seuraava pyyntö voi hyödyntää sitä.
Lue lisää →04CVE-2026-115560: ohje session upload progressista
CVE-2026-115560 on php.netin ohje 23.10.2026: mahdollinen koodin suorittaminen vain epätavallisella session-konfiguraatiolla. Ratkaisu seuraavaan julkaisuun asti: session.upload_progress.enabled=0.
Lue lisää →05Mitkä PHP-versiot ovat haavoittuvia?
PHP2Shell on korjattu versioissa PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1:lle ja vanhemmille ei ole enää virallisia päivityksiä. Taulukko näyttää tilan haaroittain.
Lue lisää →06PHP-version ja korjaustilan tarkistaminen oikein
Näytetty PHP-versio ei yksin kerro, onko PHP2Shell suljettu. Ratkaisevia ovat paketin tila, backportit ja se, toimivatko uudet prosessit todella.
Lue lisää →07Miksi mod_php kantaa suurimman riskin
Apachella ja mod_php:llä PHP-tiimi arvioi PHP2Shellin riskin suurimmaksi: siinä on esitetty hyökkäys ennen kuin sovelluskoodia ajetaan. Näin tarkistatte ja toimitte.
Lue lisää →08Päivityksen jälkeen: PHP-FPM ja kaikki workerit uudelleen
PHP-päivitys tehoaa vasta, kun kaikki PHP-prosessit on käynnistetty uudelleen. Tässä komennot PHP-FPM:lle, Apachelle, LiteSpeedille ja konteille sekä tarkistus.
Lue lisää →09Pikatoimet, jos ette voi vielä korjata
Kun PHP-päivitys ei vielä onnistu, php.netin väliaikaiset toimenpiteet pienentävät riskiä mutta eivät suojaa täysin. Näin asetatte ne oikein.
Lue lisää →10PHP 8.1 ja vanhemmat: mitä nyt pätee
PHP 8.1:lle, 8.0:lle, 7.4:lle ja vanhemmille versioille ei ole virallisia PHP2Shell-päivityksiä. Mitä lähdekoodin backportit tuovat ja miltä tie tuettuun versioon näyttää.
Lue lisää →11PHP:n korjaus Docker-konteissa
Kontit eivät korjaa itseään. PHP2Shellin osalta PHP-image on rakennettava tai haettava uudelleen ja jokainen kontti luotava uudesta imagesta.
Lue lisää →12Onko minuun jo murtauduttu? PHP2Shellin merkit
PHP2Shellille ei ole vahvistettuja Indicators of Compromise -tunnisteita. Mistä silti tunnistatte, onko palvelimeenne murtauduttu, ja miten tarkistatte jälkiä tuhoamatta.
Lue lisää →Jokainen tunti on tärkeä. Kirjoittakaa meille nyt.
Kuvatkaa lyhyesti järjestelmä, PHP-versio ja havainnot. Otamme yhteyttä, selvitämme tilanteen ja työskentelemme etänä, kunnes tapaus on käsitelty loppuun ja dokumentoitu.