# Mikä on PHP2Shell? Haavoittuvuus selkeästi

> PHP2Shell selkeästi: mitä kahden kriittisen PHP-haavoittuvuuden takana on, mitkä palvelimet ovat vaarassa ja mitkä askeleet kannattaa ottaa nyt.

Lähde: https://phpsos.de/fi/php2shell/was-ist-php2shell/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** PHP2Shell on nimi kahdelle kriittiselle tietoturvahaavoittuvuudelle itse PHP:ssä, CVE-2026-109618 ja CVE-2026-109619. Niiden kautta hyökkääjät voivat suorittaa haittakoodia haavoittuvilla verkkopalvelimilla ilman kirjautumista. Apu on vain päivitys korjattuun PHP-versioon ja sen jälkeen kaikkien PHP-prosessien uudelleenkäynnistys.

## Mikä on PHP2Shell?

PHP on ohjelmointikieli, jolla suuri osa kaikista verkkosivustoista toimii: yrityssivustot WordPressillä tai TYPO3:lla, verkkokaupat Shopwarella tai WooCommercella, sisäiset portaalit ja omat kehitystyöt. PHP-projekti julkaisi 21. lokakuuta 2026 tietoturvapäivitykset kahteen haavoittuvuuteen, jotka ovat tulleet tunnetuiksi nimellä PHP2Shell.

Molempien CVSS v4.0 -pistemäärä on 9.2, eli ne on arvioitu kriittisiksi. Seuraus on kummassakin sama: haittakoodin suorittaminen etänä ilman, että hyökkääjän tarvitsee kirjautua. Asiantuntijat puhuvat „unauthenticated Remote Code Executionista“. Joka voi suorittaa koodia palvelimella, voi pahimmillaan lukea tietoja, rakentaa takaovia tai käyttää palvelinta uusiin hyökkäyksiin.

Ymmärtämisen kannalta tärkeää: haavoittuvuus ei ole tietyssä CMS:ssä tai lisäosassa vaan PHP:ssä. WordPressin, Shopwaren tai TYPO3:n päivitys ei siksi sulje sitä.

## Miksi haavoittuvuus on niin vakava?

Kolme seikkaa tekee PHP2Shellistä tietoturvaviranomaisten kannalta erityisen arkaluonteisen:

- **Laajuus:** Haavoittuvia ovat PHP:n yleiset ajotavat eli PHP-FPM, Apache mod_php:n kanssa, php-cgi, FrankenPHP ja LiteSpeed. Palo Alto Networks (Unit 42) laski yli 22,6 miljoonaa julkisesti tavoitettavissa olevaa, mahdollisesti haavoittuvaa instanssia.
- **Kirjautumista ei tarvita:** Hyökkääjä ei tarvitse salasanaa eikä käyttäjätiliä.
- **Varhainen ajankohta:** Apachella mod_php:n kanssa PHP-tiimin mukaan on esitetty hyökkäys ennen kuin sovelluskoodia ajetaan lainkaan. Verkkosivuston sisäiset suojatoiminnot eivät silloin tehoa.

BSI on antanut varoitustason 3 (oranssi). Se suosittelee päivittämään välittömästi ja, jos se ei heti onnistu, ottamaan haavoittuvat verkkopalvelimet tilapäisesti pois verkosta.

## Mitkä palvelimet PHP2Shell koskee?

Haavoittuvuudet on korjattu versioissa PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Näiden haarojen vanhemmat tilat ovat haavoittuvia. PHP 8.1:lle ja vanhemmille ei ole enää virallisia päivityksiä; ammattilehdistön mukaan haavoittuvia ovat lähes kaikki versiot aina PHP 5.4:ään asti. Täydellisen yleiskatsauksen löydätte sivulta [Mitkä PHP-versiot ovat haavoittuvia?](https://phpsos.de/fi/php2shell/betroffene-php-versionen/).

Erityispiirre: Linux-jakelut ja hosting-yritykset asentavat korjaukset osin backporttina. Silloin esimerkiksi Plesk näyttää yhä versiota 8.2.34, vaikka virhe on korjattu. Ratkaisevia ovat paketin tila ja palveluntarjoajan vahvistus. Miten tarkistatte sen, selitämme sivulla [PHP-version ja korjaustilan tarkistaminen oikein](https://phpsos.de/fi/php2shell/php-version-pruefen/).

## Mikä on todennettua, mikä avointa?

**Todennettuja** ovat molemmat CVE-numerot, korjatut versiot ja php.netin julkaisemat väliaikaiset toimenpiteet. 23. lokakuuta tuli vielä ohje toisesta haavoittuvuudesta, CVE-2026-115560, joka tehoaa vain epätavallisessa konfiguraatiossa.

**Todennäköistä** on, että hyökkääjät etsivät korjaamattomia palvelimia edelleen aktiivisesti. Mediaraporttien mukaan ensimmäinen hyökkäysyritys havaittiin jo 17. lokakuuta, eli ennen korjausten julkaisua. Cloudflare ilmoitti hyökkäysyrityksistä ja on ottanut käyttöön suojasääntöjä, mutta huomauttaa, etteivät pelkkiin pyyntötietoihin perustuvat säännöt riitä.

**Avointa** on, kuinka moneen palvelimeen on jo hyökätty onnistuneesti. Vahvistettuja onnistuneita laajoja hyökkäyksiä ei BSI:n mukaan aluksi tunnettu. Vahvistettuja, julkaistuja Indicators of Compromise -tunnisteita ei ole. Oliko palvelin kohteena, voi siksi arvioida vain käyttäytymisanalyysilla. Ajallisen kulun tiivistää [kronologia 17.–25. lokakuuta](https://phpsos.de/fi/ratgeber/php2shell-chronologie/).

## Mitä yritysten pitäisi tehdä nyt

1. **Selvittäkää, kuka vastaa:** oma palvelin, hallinnoitu palvelin vai hosting-yritys.
2. **Päivittäkää PHP** korjattuun versioon tai vahvistettuun backportiin.
3. **Käynnistäkää kaikki PHP-prosessit uudelleen.** Pelkät uudet tiedostot eivät riitä, kunhan vanhat prosessit toimivat muistissa.
4. **Turvatkaa lokit** 20. lokakuuta alkaen. Ammattilehdistö neuvoo säilyttämään nämä tiedot.
5. **Tarkistakaa jäljet.** Korjaus ei poista jo asennettua haittaohjelmaa eikä todista, ettei aiemmin ole tapahtunut mitään. Vihjeitä antaa sivu [Onko minuun jo murtauduttu?](https://phpsos.de/fi/php2shell/bin-ich-gehackt-anzeichen/).

> **Tärkeää:**
> Päivitys sulkee oven mutta ei siivoa. Jos palvelimenne oli tavoitettavissa 17. lokakuuta ja korjauksen välisenä aikana, jälkien tarkistus kuuluu pakollisiin eikä vapaaehtoisiin.

## Miten PHP SOS auttaa konkreettisesti?

[PHP2Shell-pikaavulla](https://phpsos.de/fi/leistungen/php2shell-soforthilfe/) hoidamme vaiheet, joita monet yritykset eivät voi sisäisesti kattaa lyhyellä varoitusajalla:

- **Kartoitus:** Selvitämme jokaisen vaarantuneen palvelimen PHP-version, ajotavan ja paketin tilan.
- **Korjaus tai ylimeno:** Asennamme päivityksen tai, jos se ei vielä onnistu, otamme käyttöön php.netin väliaikaiset toimenpiteet ja selvitämme, onko palvelin otettava tilapäisesti pois verkosta.
- **Uudelleenkäynnistys ja todiste:** Käynnistämme kaikki PHP-prosessit uudelleen ja dokumentoimme tilan ennen ja jälkeen.
- **Jälkien tarkistus:** Turvaamme lokit 20. lokakuuta alkaen ja tarkistamme poikkeamat, kunnes tapaus on päätetty ja dokumentoitu.


## Usein kysytyt kysymykset

**Onko PHP2Shell WordPress-haavoittuvuus?**  
Ei. Haavoittuvuudet ovat PHP:ssä eli ohjelmointikielessä, jolla WordPress, Shopware, TYPO3 ja monet muut järjestelmät toimivat. CMS-päivitys ei siksi sulje niitä. Ratkaisevaa on palvelimen PHP-tila.

**Pitääkö hosting-yrityksen asiakkaana tehdä itse jotain?**  
Jaetussa hostingissa PHP-päivityksen asentaa yleensä hosting-yritys. Teidän kannattaa silti pyytää kirjallinen vahvistus siitä, että käyttämänne PHP-versio on korjattu ja käynnistetty uudelleen. Siihen, tapahtuiko jotain ennen korjausta, päivitys ei vastaa.

**Mistä nimi PHP2Shell tulee?**  
Nimi kuvaa seurausta: PHP:n kautta hyökkääjä voi pahimmillaan saada palvelimelle komentorivin eli shellin. Viralliset tunnisteet ovat CVE-numerot CVE-2026-109618 ja CVE-2026-109619.

**Onko verkkosivustoani jo hyökätty, jos se otettiin pois verkosta?**  
Ei välttämättä. Jotkin palveluntarjoajat ovat ottaneet verkkosivustoja varotoimena pois verkosta, kuten BSI (Saksan liittovaltion tietoturvavirasto) suosittelee, jos päivitystä ei voi tehdä heti. Se on suojatoimi eikä todiste hyökkäyksestä.

## Lähteet

- [php.net: tietoturvatiedotteet](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Saksan liittovaltion tietoturvavirasto](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)