Oppaat: PHP:n ja palvelimen tietoturva
Asiantuntija-artikkelit ylläpitäjille ja kehittäjille: web shellien tunnistaminen, php.ini:n koventaminen, lokien analysointi ja turvallinen ohjelmointi.
PHP2Shell-aikajana: tapahtumat 17.–25. lokakuuta 2026
Kaikki PHP2Shellistä todennetut päivämäärät yhdessä katsauksessa, ensimmäisestä havaitusta hyökkäysyrityksestä tilanteeseen 25.10.2026, sekä se, mitä niistä seuraa tarkistuksellenne.
Lue lisää →02Hostingin PHP-päivityksen vahvistus: näin kysytte korjaustilaa
Näytetty PHP-versio todistaa PHP2Shellin jälkeen vähän. Tällä mallipohjalla pyydätte hosting-yritykseltä vahvistuksen, jonka voitte dokumentoida.
Lue lisää →03Web shellin tunnistaminen ja poistaminen
Miten löydätte takaovet PHP-verkkopalvelimilta tuhoamatta jälkiä ja miksi pelkkä poistaminen riittää harvoin.
Lue lisää →04WordPressin takaoven löytäminen: takaovien järjestelmällinen etsintä
Missä takaovet tyypillisesti piilottelevat WordPressissä ja miten ylläpitäjät löytävät ne järjestelmällisesti WP-CLI:llä ja muutamalla komennolla.
Lue lisää →05php.ini turvallisesti
Mitkä php.ini-asetukset pienentävät hyökkäyspintaa, miten suojaatte ne ylikirjoittamiselta ja mitä PHP2Shellin jälkeen pätee lisäksi.
Lue lisää →06PHP disable_functions oikein käytettynä
disable_functions-asetuksella estätte riskialttiita PHP-funktioita. Näin määrittelette luettelon sovelluksellenne sopivaksi lamauttamatta verkkosivustoa.
Lue lisää →07open_basedir ja sivustokohtainen eristys
Näin open_basedir, omat järjestelmäkäyttäjät ja erilliset PHP-FPM-poolit estävät, että yhteen verkkosivustoon tehty murto osuu kaikkiin muihin palvelimella.
Lue lisää →08Verkkopalvelimen tiedosto-oikeudet
Miksi verkkopalvelin ei saa muuttaa omaa koodiaan, mitkä oikeudet sopivat tiedostoille ja kansioille ja miten tarkistatte nykytilan nopeasti.
Lue lisää →09composer audit: riippuvuuksien haavoittuvuuksien tarkistus
Miten kehittäjät löytävät composer auditilla kirjastojen tunnetut tietoturva-aukot, automatisoivat tarkistuksen ja välttävät tyypilliset virheet deploymentissa.
Lue lisää →10PHP End of Life: vanhentuneiden versioiden riskit
Mitä PHP-version tuen päättyminen tarkoittaa, mitkä haarat saavat PHP2Shellin jälkeen yhä viralliset korjaukset ja miten siirtymästä tulee hallittava.
Lue lisää →11SQL-injektion estäminen PHP:ssä
Miten kehittäjät sulkevat SQL-injektion luotettavasti pois PHP-sovelluksista Prepared Statementeilla, sallittujen arvojen luetteloilla ja minimaalisilla tietokanta-oikeuksilla.
Lue lisää →12XSS:n estäminen PHP:ssä: Cross-Site Scriptingin turvallinen torjunta
Miten kehittäjät estävät Cross-Site Scriptingin PHP-sovelluksissa: yhteyden mukainen koodaus, automaattinen escapointi malleissa, HTML:n puhdistus ja Content Security Policy.
Lue lisää →13Tiedostolataukset turvallisesti PHP:ssä: PHP-latausten tietoturva
Latauslomakkeet ovat yleinen reitti web shelleille. Näin tarkistatte tiedostotyypit oikein, tallennatte tiedostot turvallisesti ja estätte palvelinta suorittamasta ladattuja skriptejä.
Lue lisää →14Istuntojen suojaaminen PHP:ssä: PHP-istuntojen tietoturva käytännössä
Istunnot pitävät käyttäjät kirjautuneina ja ovat siksi houkutteleva kohde. Näin määritätte evästeet, istuntotunnukset ja tallennuspaikat turvallisesti ja toteutatte PHP2Shellin Upload Progress -ohjeen.
Lue lisää →15Turvaton deserialisointi PHP:ssä: unserialize ja tietoturva
unserialize() vierailla tiedoilla voi pahimmillaan johtaa koodin suoritukseen. Näin korvaatte sen JSON:lla, rajaatte sen siellä, missä sen on pakko jäädä, ja löydätte riskialttiit kohdat koodista.
Lue lisää →16Local File Inclusionin estäminen PHP:ssä: LFI ja RFI
Kun include tai require ottaa polun pyynnöstä, hyökkääjät voivat ladata vieraita tiedostoja. Näin rakennatte sivunvalinnan ja mallit turvallisesti ja suojaatte palvelimen lisäksi.
Lue lisää →17Ylläpidon kirjautumisten suojaaminen Brute Forcelta: Brute Force -suoja jokaiselle kirjautumiselle
Automatisoidut salasanayritykset osuvat jokaiseen tavoitettavaan kirjautumissivuun. Näin hidastatte hyökkääjiä Rate Limitingillä ja Fail2banilla, suojaatte tilit toisella tekijällä ja tallennatte salasanat oikein.
Lue lisää →18DDoS vai hakkerihyökkäys? Hyökkäysten oikea arviointi
Hidas verkkosivusto, korkea kuormitus, oudot tiedostot: se, onko takana DDoS vai murto, ratkaisee oikean reaktion. Näin arvioitte tilanteen muutamalla tarkistuksella.
Lue lisää →19Verkkopalvelimen lokien analysointi hyökkäyksen jälkeen: pääsylokin oikea lukeminen
Lokitiedostot ovat hyökkäyksen jälkeen usein tärkein jälki. Näin varmistatte pääsy-, virhe- ja PHP-lokit oikein, löydätte huomiota herättävät pyynnöt ja vältätte tyypilliset virheet analyysissa.
Lue lisää →20Kaksivaiheisen tunnistautumisen käyttöönotto ylläpitotunnuksille
Varastettu salasana ei saa riittää palvelimenne tai verkkokauppanne haltuunottoon. Näin valitsette sopivan menetelmän, suojaatte kaikki ylläpitopääsyt ja suunnittelette varapääsyt.
Lue lisää →21Palvelimen varmuuskopiostrategia: varmuuskopiot 3-2-1-säännön mukaan
Varmuuskopio auttaa vain, jos se selviää hyökkäyksestä ja sen voi palauttaa. Näin toteutatte 3-2-1-säännön verkkopalvelimille ja suunnittelette säilytyksen ja testit oikein.
Lue lisää →22Security Header -otsakkeet verkkosivustoille: tietoturvaotsakkeiden oikea asetus
Tietoturvaotsakkeet ohjeistavat selainta suojaamaan kävijöitänne paremmin. Näin asetatte tärkeimmät otsakkeet Nginxissä ja Apachessa, otatte Content Security Policyn käyttöön vaiheittain ja tarkistatte tuloksen.
Lue lisää →23Googlen varoituksen ”Tämä sivusto on murrettu” poistaminen
Hakutuloksissa näkyvä murtovaroitus maksaa kävijöitä ja luottamusta. Näin puhdistatte verkkosivuston perusteellisesti, löydätte piilotetut roskapostisivut ja pyydätte uudelleentarkistuksen Search Consolessa.
Lue lisää →24Tarkistuslista murron jälkeen: 20 kohtaa jälkikäsittelyyn
Hyökkäyksen jälkeen oikea järjestys ratkaisee. Tämä tarkistuslista opastaa 20 kohdassa rajauksen, todisteiden varmistuksen, puhdistuksen, uusien pääsyjen, velvoitteiden ja dokumentoidun päättämisen läpi.
Lue lisää →Jokainen tunti on tärkeä. Kirjoittakaa meille nyt.
Kuvatkaa lyhyesti järjestelmä, PHP-versio ja havainnot. Otamme yhteyttä, selvitämme tilanteen ja työskentelemme etänä, kunnes tapaus on käsitelty loppuun ja dokumentoitu.