# PHP2Shell: kaikki kriittisestä PHP-haavoittuvuudesta

> PHP2Shell ymmärrettävästi selitettynä: CVE-2026-109618 ja CVE-2026-109619, haavoittuvat versiot, tarkistus, uudelleenkäynnistys ja väliaikaiset toimet.

Lähde: https://phpsos.de/fi/php2shell/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

Kaksi kriittistä haavoittuvuutta itse PHP:ssä, CVSS 9.2, haittakoodi ilman kirjautumista. Tässä kerrotaan, mikä on todennettua, mitkä versiot ovat turvallisia ja mitä teidän kannattaa nyt tehdä.

- [Mikä on PHP2Shell? Haavoittuvuus selkeästi](https://phpsos.de/fi/php2shell/was-ist-php2shell/): PHP2Shell on kaksi kriittistä haavoittuvuutta itse PHP:ssä, joiden kautta hyökkääjät voivat suorittaa koodia verkkopalvelimilla ilman kirjautumista. Tilanne selkeästi.
- [CVE-2026-109618: RCE Out-of-Memory-tilan kautta](https://phpsos.de/fi/php2shell/cve-2026-109618/): CVE-2026-109618 on toinen PHP2Shell-haavoittuvuuksista: Out-of-Memory-tila voi keskeyttää PHP:n kesken pyynnön käsittelyn. Korjattu versioissa PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.
- [CVE-2026-109619: RCE vanhentuneen globaalin tilan kautta](https://phpsos.de/fi/php2shell/cve-2026-109619/): CVE-2026-109619 on toinen PHP2Shell-haavoittuvuus: pyynnön sisäinen tila voi säilyä muistin vapauttamisen jälkeen, ja saman workerin seuraava pyyntö voi hyödyntää sitä.
- [CVE-2026-115560: ohje session upload progressista](https://phpsos.de/fi/php2shell/cve-2026-115560/): CVE-2026-115560 on php.netin ohje 23.10.2026: mahdollinen koodin suorittaminen vain epätavallisella session-konfiguraatiolla. Ratkaisu seuraavaan julkaisuun asti: session.upload_progress.enabled=0.
- [Mitkä PHP-versiot ovat haavoittuvia?](https://phpsos.de/fi/php2shell/betroffene-php-versionen/): PHP2Shell on korjattu versioissa PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1:lle ja vanhemmille ei ole enää virallisia päivityksiä. Taulukko näyttää tilan haaroittain.
- [PHP-version ja korjaustilan tarkistaminen oikein](https://phpsos.de/fi/php2shell/php-version-pruefen/): Näytetty PHP-versio ei yksin kerro, onko PHP2Shell suljettu. Ratkaisevia ovat paketin tila, backportit ja se, toimivatko uudet prosessit todella.
- [Miksi mod_php kantaa suurimman riskin](https://phpsos.de/fi/php2shell/mod-php-risiko/): Apachella ja mod_php:llä PHP-tiimi arvioi PHP2Shellin riskin suurimmaksi: siinä on esitetty hyökkäys ennen kuin sovelluskoodia ajetaan. Näin tarkistatte ja toimitte.
- [Päivityksen jälkeen: PHP-FPM ja kaikki workerit uudelleen](https://phpsos.de/fi/php2shell/php-fpm-neustart/): PHP-päivitys tehoaa vasta, kun kaikki PHP-prosessit on käynnistetty uudelleen. Tässä komennot PHP-FPM:lle, Apachelle, LiteSpeedille ja konteille sekä tarkistus.
- [Pikatoimet, jos ette voi vielä korjata](https://phpsos.de/fi/php2shell/sofortmassnahmen-ohne-patch/): Kun PHP-päivitys ei vielä onnistu, php.netin väliaikaiset toimenpiteet pienentävät riskiä mutta eivät suojaa täysin. Näin asetatte ne oikein.
- [PHP 8.1 ja vanhemmat: mitä nyt pätee](https://phpsos.de/fi/php2shell/php-8-1-und-aelter/): PHP 8.1:lle, 8.0:lle, 7.4:lle ja vanhemmille versioille ei ole virallisia PHP2Shell-päivityksiä. Mitä lähdekoodin backportit tuovat ja miltä tie tuettuun versioon näyttää.
- [PHP:n korjaus Docker-konteissa](https://phpsos.de/fi/php2shell/docker-container-patchen/): Kontit eivät korjaa itseään. PHP2Shellin osalta PHP-image on rakennettava tai haettava uudelleen ja jokainen kontti luotava uudesta imagesta.
- [Onko minuun jo murtauduttu? PHP2Shellin merkit](https://phpsos.de/fi/php2shell/bin-ich-gehackt-anzeichen/): PHP2Shellille ei ole vahvistettuja Indicators of Compromise -tunnisteita. Mistä silti tunnistatte, onko palvelimeenne murtauduttu, ja miten tarkistatte jälkiä tuhoamatta.