# PHP-hätätilanne? Soittakaa tai WhatsApp – autamme

> PHP-palvelin kaatunut, ylikuormittunut tai käyttäytyy oudosti? Puhukaa suoraan asiantuntijan kanssa. Soittakaa tai kirjoittakaa WhatsAppilla.

Lähde: https://phpsos.de/fi/soforthilfe/php-notfall-hilfe/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** Jos PHP-palvelimenne on ongelmallinen ja haluatte puhua suoraan asiantuntijan kanssa, soittakaa tai kirjoittakaa WhatsAppilla. Koskeeko tämä teitä? Soittakaa. Autamme. Selvitämme etänä, onko taustalla käyttökatko, virheellinen asetus vai hyökkäys, ja otamme tilanteen hoitoon ensimmäisestä viestistä alkaen, kunnes tapaus on käsitelty loppuun ja dokumentoitu.

> **Toimi heti:**
> **Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen.** Myös uudelleenkäynnistys tai palautus aiempaan versioon voi hävittää jälkiä. Kertokaa ensin, mitä näette. [Ilmoittakaa hätätilanne](https://phpsos.de/fi/notfall/), sen jälkeen sovimme seuraavasta vaiheesta.

## Koskeeko tämä teitä? Nämä häiriöt kuuluvat meille

Kaikki häiriöt eivät ole hyökkäyksiä, mutta näinä päivinä asia kannattaa tarkistaa. Ottakaa yhteyttä, jos PHP-järjestelmässänne ilmenee jotain seuraavista:

- PHP-prosessit tai verkkopalvelin keskeytyvät, käynnistyvät yhä uudelleen tai järjestelmä päättää ne (poistumistila 137).
- Kuormitus nousee ilman selvää syytä tai muisti täyttyy.
- Sivut palauttavat tyhjiä vastauksia, 500-virheitä tai virheilmoituksia, joita ei aiemmin ollut.
- Verkkopalvelimen tai PHP-FPM:n alla toimii prosesseja, jotka käynnistävät shellin.
- Upload- tai välimuistikansiossa on PHP-tiedostoja, joita ette tunne.
- Sovellus ei toimi enää PHP-päivityksen jälkeen.
- Hosting-yrityksenne on estänyt pääsyn tai sulkenut sivuston.

Ero käyttökatkon ja hyökkäyksen välillä näkyy yleensä vasta lokeista. Ensimmäisiä vihjeitä siitä, mikä on olennaista, kuvaa kirjoitus [Verkkopalvelin käynnistää shellin](https://phpsos.de/fi/blog/webserver-startet-shell/).

## Mitä teette heti

1. **Havainnoikaa, ennen kuin puututte asiaan.** Kirjatkaa kellonaika, virheilmoitukset ja se, mitä viimeksi muutettiin (päivitys, lisäosa, asetukset).
2. **Varmistakaa lokit.** Kopioikaa verkkopalvelimen, PHP:n ja järjestelmän lokit talteen ennen kuin ne kiertävät. Alan lehdistö neuvoo säilyttämään lokit 20.10.2026 alkaen.
3. **Älkää käynnistäkö sokkona uudelleen.** Uudelleenkäynnistys korjaa joitakin käyttökatkoja, mutta tuhoaa katoavat jäljet. Käynnistäkää uudelleen, jos toiminta sitä vaatii, ja kirjatkaa, mitä teitte.
4. **Punnitkaa saavutettavuutta.** Jos epäilette hyökkäystä, eristäminen tai sulkeminen on usein oikein. BSI neuvoo sitä, jos päivitystä ei voi tehdä heti.
5. **Selvittäkää PHP-versio.** `php -v` näyttää version, mutta ei aina verkkopalvelimen ajoympäristön versiota.
6. **Soittakaa tai kirjoittakaa.** Mitä tarkemmin kuvaatte tilanteen, sitä nopeammin pääsemme asian ytimeen.

## Miten PHP SOS auttaa konkreettisesti?

Työskentelemme etänä, ilman matkustamista, kaikkialla Saksassa ja Euroopassa.

1. **Tilanteen kartoitus:** Ensimmäisessä keskustelussa kuuntelemme ja kysymme täsmällisesti: järjestelmät, PHP:n ajotapa, ajankohta, viimeisimmät muutokset. Sen jälkeen tiedätte, näemmekö käyttökatkon vai hyökkäysepäilyn.
2. **Varmistus ja sulkeminen:** Varmistamme tilan, korjaamme syyn ja tarvittaessa suljemme haavoittuvuuden päivityksellä, uudelleenkäynnistyksellä ja väliaikaisilla toimilla.
3. **Tarkistus ja puhdistus:** Jos murto ilmenee, poistamme haittakoodin sekä tarkistamme tunnukset ja salaisuudet. Muussa tapauksessa dokumentoimme syyn ja pidämme toiminnan puhtaana käynnissä.
4. **Koventaminen ja raportointi:** Saatte lyhyen raportin ja suosituksia, jotta häiriö ei toistu.

Jos taustalla on enemmän, siirrymme [verkkosivusto murrettu -hätäapuun](https://phpsos.de/fi/leistungen/website-gehackt-notfallhilfe/) tai jäsenneltyyn [tietoturvapoikkeamien hallintaan (Incident Response)](https://phpsos.de/fi/leistungen/incident-response/).

## Muisti, keskeytykset ja uusi raja

21.10.2026 julkaistuista tietoturvaversioista (8.5.12, 8.4.27, 8.3.36, 8.2.35) alkaen on ollut käytössä direktiivi `memory_hard_limit_percent`. Siitä lähtien `memory_limit` on pehmeä raja. Ilman omaa asetusta kovana rajana on `memory_limit`in kaksinkertainen arvo 1G:hen asti, sen yli `memory_limit` plus 1G. Jos raja ylittyy, prosessi päättyy heti poistumistilaan 137. Käyttö, joka pyöri ennen päivitystä lähellä rajaa, voi siksi yhtäkkiä alkaa keskeytyä. Se ei ole hyökkäys vaan korjauksen seuraus, ja ratkaisu on sovittaa sovellus tai raja asianmukaisesti, ei perua päivitystä.

Toisin päin pätee: jos näette kaatuneita prosesseja eikä korjausta ole vielä asennettu, sitä ei kannata sivuuttaa sattumana, sillä haavoittuvuus CVE-2026-109618 liittyy muistin loppumisen (Out-of-Memory) tilaan. Onko sillä merkitystä teidän tapauksessanne, näkyy lokeista. Taustaa muistinhallinnasta löytyy sivulta [Out-of-Memory PHP:ssä](https://phpsos.de/fi/php/out-of-memory/), mahdollisia murron merkkejä sivulta [Epäilyttävät prosessit Linuxissa](https://phpsos.de/fi/blog/verdaechtige-prozesse-linux/).

## Kun hosting-yritys puuttuu asiaan

Jotkin palveluntarjoajat sulkevat tilejä tai ottavat sivuja ennaltaehkäisevästi pois verkosta. Se ei automaattisesti tarkoita, että teihin olisi murtauduttu, mutta se voi olla seurausta poikkeavuuksista. Kysykää syytä ja ajankohtaa, pyytäkää lokit ja kirjatkaa, mitä palveluntarjoaja vaatii. Sovimme asioista hosting-yrityksenne kanssa, jos niin haluatte. Kannattaa selvittää etukäteen, kuka palveluntarjoajalla saa tehdä päätöksiä ja onko heillä palvelimen tallenteita, joita ette itse voi nähdä. Tällaiset tiedot, esimerkiksi verkkotason käyttö, voivat myöhemmin olla ratkaisevia, kun mahdollisen murron ajankohtaa rajataan.

## Mitä teidän kannattaa lähettää meille

- lyhyt kuvaus: mikä on lakannut toimimasta tai on poikkeavaa, mistä lähtien?
- järjestelmän tyyppi (oma palvelin, hosting-paketti, kontti) ja hosting-yritys
- `php -v` -komennon tuloste, ajotapa ja verkkopalvelin, siltä osin kuin tiedossa
- virheilmoitukset tai otteet lokeista
- viimeisimmän PHP-päivityksen ja viimeisten muutosten ajankohta
- yhteyshenkilö, jolla on päätösvalta uudelleenkäynnistyksiin

## Miksi PHP SOS

Työmme on Saksassa tehtyä (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Puhutte vakituisen yhteyshenkilön kanssa tikettijärjestelmän sijaan. Työskentelemme etänä, dokumentoimme, mitä näemme ja teemme, ja kerromme avoimesti, mikä on todennettua ja mikä ei. Haavoittuvuuteen liittyviä akuutteja tapauksia varten on lisäksi [PHP2Shell-pikaapu yrityksille](https://phpsos.de/fi/leistungen/php2shell-soforthilfe/).

## Koskeeko tämä teitä? Soittakaa. Autamme.

Jos PHP-palvelimenne on ongelmallinen, älkää odottako seuraavaa käyttökatkoa. Soittakaa tai kirjoittakaa WhatsAppilla. Otamme tilanteen hoitoon ensimmäisestä viestistä alkaen. [Ilmoittakaa hätätilanne nyt](https://phpsos.de/fi/notfall/).


## Usein kysytyt kysymykset

**PHP-palvelimeni on yhtäkkiä hidas tai kaatuu: onko se hyökkäys?**  
Ei välttämättä. Käyttökatkoilla on usein arkisia syitä, kuten liian vähäinen muisti, virheellinen päivitys tai ylikuormitus. Vasta lokien ja prosessien tarkastelu näyttää, onko kyse hyökkäyksestä; varoitusmerkkejä ovat esimerkiksi verkkopalvelimen alla toimivat shell-prosessit tai tuntemattomat uudet PHP-tiedostot.

**Mitä poistumistila 137 tarkoittaa PHP-prosesseissa?**  
Tila 137 tarkoittaa heti päätettyä prosessia. PHP-käsikirjan mukaan prosessi päättyy tilaan 137, kun se ylittää uuden direktiivin memory_hard_limit_percent kovan muistirajan; järjestelmä on voinut kuitenkin päättää sen myös muistin puutteen vuoksi. Syyn selvittää lokien tarkastelu.

**Voinko puhua asiantuntijan kanssa puhelimessa, ennen kuin muutan mitään?**  
Kyllä, juuri sitä varten hätäapu on olemassa. Soittakaa tai kirjoittakaa WhatsAppilla ja kuvatkaa, mitä on havaittu. Kerromme, mitä teidän kannattaa jättää tekemättä ja mitä voitte tehdä turvallisesti.

**Pitäisikö PHP-palvelu vain käynnistää uudelleen?**  
Uudelleenkäynnistys voi korjata käyttökatkon, mutta poistaa muistissa olevat vihjeet. Jos murto on mahdollinen, varmistakaa ensin lokit ja pyytäkää neuvoa. PHP-päivityksen jälkeen uudelleenkäynnistys on sen sijaan pakollinen.

**Työskenteletteko myös, jos palvelimeni on hosting-yrityksellä?**  
Kyllä, työskentelemme etänä niillä tunnuksilla, jotka teillä on, ja sovimme tarvittaessa hosting-yrityksenne kanssa. Mitkä tarkistukset ovat mahdollisia, riippuu oikeuksistanne.

## Lähteet

- [php.net: tietoturvailmoitukset](https://www.php.net/)
- [PHP-käsikirja: ydinasetukset (ini.core)](https://www.php.net/manual/en/ini.core.php)
- [BSI (Saksan liittovaltion tietoturvavirasto)](https://www.bsi.bund.de/)