Lyhyesti: Se, koskeeko PHP2Shell teitä, riippuu kolmesta asiasta: PHP-versiosta, ajotavasta ja siitä, onko korjaus asennettu ja miten. Jos olette epävarma, ottakaa yhteyttä nyt. Koskeeko tämä teitä? Soittakaa. Autamme. Selvitämme asian etänä itse palvelimelta, emme tuntumalta, ja suljemme haavoittuvuuden, jos se on auki.
Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen. Vaikka haluaisitte vain selvittää, koskeeko asia teitä: jos palvelimeen on ehkä jo hyökätty, tarvitsemme tiedostot ja lokit muuttumattomina. Ilmoittakaa hätätilanne, niin käymme tarkistuksen läpi yhdessä.
Koskeeko tämä teitä? Nämä tapaukset kuuluvat tarkistuslistalle
PHP2Shell tarkoittaa kahta kriittistä haavoittuvuutta itse PHP:ssä (CVE-2026-109618 ja CVE-2026-109619, kumpikin korkeimman mahdollisen CVSS v4.0 -arvosanan 9.2 mukaan). Ne sallivat haittakoodin suorittamisen etänä ilman kirjautumista. Haavoittuvia voivat olla kaikki ajotavat: PHP-FPM, Apache ja mod_php, php-cgi, FrankenPHP ja LiteSpeed. Tarkistakaa jokainen seuraavista järjestelmistä:
- omat palvelimet, vServerit ja root-palvelimet, joilla on PHP
- hosting-paketit ja hallinnoidut palvelimet, vaikka teillä ei olisi pääsyä asetuksiin
- kontit ja alustapalvelut, joiden mukana tulee PHP-image
- testijärjestelmät, staging-ympäristöt ja unohtuneet vanhat järjestelmät, jotka ovat tavoitettavissa internetistä
- NAS-laitteet, appliance-laitteet tai palveluntarjoajien ohjelmistot, jotka käyttävät sisäisesti PHP:tä
Juuri unohtuneet järjestelmät ovat riski. Unit 42:n mukaan avoimia, mahdollisesti haavoittuvia instansseja on yli 22,6 miljoonaa, ja BSI odotti nopeaa laaja-alaista hyväksikäyttöä.
Mitä teette heti
- Laatikaa luettelo. Kirjatkaa kaikki palvelimet, verkkotunnukset ja hosting-sopimukset, joilla PHP on käytössä, sekä vastuuhenkilöt.
- Selvittäkää PHP-versio järjestelmäkohtaisesti. Palvelimilla komennolla
php -v. Huomatkaa, että komentorivi voi käyttää eri versiota kuin verkkopalvelin. - Selvittäkää ajotapa. Ajetaanko PHP:tä PHP-FPM:nä, mod_php:nä vai LiteSpeedin kautta? PHP-tiimi arvioi riskin korkeimmaksi mod_php:ssä.
- Kysykää hosting-yritykseltä ja palveluntarjoajilta. Kirjallisesti: mikä versio on käytössä, onko korjaus asennettu ja onko kaikki prosessit käynnistetty uudelleen?
- Säilyttäkää lokit. Alan lehdistö neuvoo säilyttämään lokit 20.10.2026 alkaen.
- Älkää odottako kauan. Jos järjestelmä on auki eikä korjausta voi asentaa heti, BSI suosittelee ottamaan verkkopalvelimen tilapäisesti pois verkosta.
Miten PHP SOS auttaa konkreettisesti?
Selvitämme, koskeeko asia teitä, etänä ja todisteiden kanssa.
- Tilanteen kartoitus: Kuuntelemme luettelonne järjestelmistä ja ryhmittelemme ne tavoitettavuuden ja riskin mukaan.
- Varmistus ja sulkeminen: Missä haavoittuvuus on auki, varmistamme ensin tilan ja suljemme sen sitten päivityksellä ja uudelleenkäynnistyksellä. Missä se ei onnistu heti, otamme käyttöön väliaikaisia toimia, jotka eivät ole täydellinen suoja.
- Tarkistus ja puhdistus: Tarkistamme, onko haavoittuvuutta käytetty hyväksi ennen korjausta, ja puhdistamme tarvittaessa. Erotamme selvästi toisistaan sen, onko palvelin haavoittuva ja onko siihen mahdollisesti jo hyökätty.
- Koventaminen ja raportointi: Saatte luettelon järjestelmittäin: versio, ajotapa, korjauksen todiste, avoimet kohdat.
Miten haavoittuvuus todennetaan
Pelkkä versionumero ei riitä, koska palveluntarjoajat tuovat korjauksia vanhempiin versioihin. Ubuntu 24.04 näyttää esimerkiksi raporttien mukaan päivityksen jälkeenkin version 8.3.6. Kolme tapaa on luotettavia:
| Tapa | Mitä se näyttää | Rajoitus |
|---|---|---|
| Version vertaaminen korjattuihin versioihin | 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai uudempi on korjattu | koskee vain alkuperäisiä versioita, ei backporteja |
Testi memory_hard_limit_percent |
bool(false) tarkoittaa: direktiivi tuntematon, siis haavoittuva |
ajettava versio- ja ajotapakohtaisesti |
| Pakettien muutoslokin haku CVE-numeroilla | todistaa jakelujen backportit | lähde on palveluntarjoajan tietoturva-arkisto |
Testi näyttää tältä:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Miten version ja korjaustilan voi tarkistaa luotettavasti, kerrotaan sivulla PHP-version ja korjaustilan oikea tarkistus. Yleiskatsauksen versiohaaroista antaa Mitkä PHP-versiot ovat haavoittuvia?. Miksi näyttö voi korjauksesta huolimatta näyttää vanhalta, selittää kirjoitus php -v näyttää vanhan numeron.
Haavoittuva eikä enää korjattavissa: PHP 8.1 ja vanhemmat
PHP 8.1:lle ja vanhemmille PHP-projekti ei enää julkaise virallisia päivityksiä, vain minimaalisia lähdekoodin backporteja versioille 7.4, 8.0 ja 8.1. Sen, joka käyttää tällaista versiota, on yleensä valittava kahdesta tiestä: palveluntarjoaja, jolla on todennettu backport, tai siirtyminen ylläpidettyyn versioon. Kaupallisia pitkäaikaistukitarjouksia on olemassa, mutta kattavatko ne PHP2Shellin ja milloin, sen palveluntarjoajan on vahvistettava kirjallisesti. Autamme arvioinnissa sivulla PHP 8.1 ja vanhemmat: mikä nyt pätee ja toteutuksessa PHP-korjauspalvelussa.
Mitä teidän kannattaa lähettää meille
- Luettelo palvelimistanne, verkkotunnuksistanne ja hosting-yrityksistänne
- PHP-versio järjestelmäkohtaisesti, siltä osin kuin se on tiedossa
- Ajotapa ja verkkopalvelin, siltä osin kuin ne ovat tiedossa
- Tieto siitä, onko edessä Cloudflare tai jokin muu suoja ja onko alkuperäpalvelin suoraan tavoitettavissa
- Hosting-yrityksenne vastaukset, jos olette jo kysyneet
- Yhteyshenkilö hyväksyntöjä ja uudelleenkäynnistyksiä varten
Miksi PHP SOS
Työmme on Saksassa tehtyä (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Saatte yhteyshenkilön, joka käy luettelonne läpi ja todentaa jokaisen väitteen sen sijaan, että lukisi vain versionumeroita. Työskentelemme etänä, ilman matkustamista, ja dokumentoimme, mitä olemme tarkistaneet. Väitteen kuten ”turvallinen” annamme vain siltä osin kuin se voidaan todentaa. Suuremmissa ympäristöissä kyseeseen tulee PHP2Shell-pikaapu.
Koskeeko tämä teitä? Soittakaa. Autamme.
Jos ette tiedä, koskeeko asia teitä, se on jo riittävä syy ottaa yhteyttä nyt. Soittakaa tai kirjoittakaa WhatsAppilla. Otamme tilanteen hoitoon ensimmäisestä viestistä alkaen ja selvitämme sen kanssanne palvelimella. Ilmoittakaa hätätilanne nyt.
Usein kysytyt kysymykset
Koskeeko PHP2Shell minua, jos käytän vain WordPressiä tai verkkokauppaa?
Mahdollisesti kyllä. Haavoittuvuudet ovat PHP:ssä, eivät sisällönhallintajärjestelmässä. Ratkaisevaa on, mikä PHP-versio ja ajotapa teillä todellisuudessa palvelee sivuja; WordPress-päivitys ei muuta tätä.
Riittääkö versionumero kertomaan, onko korjaus asennettu?
Ei aina. Jakelut ja hosting-yritykset tuovat korjauksia joskus vanhempiin versioihin (backport), jolloin numero pysyy samana. Luotettavia ovat pakettien muutoslokit CVE-numeroineen tai palveluntarjoajanne kirjallinen vahvistus.
Onko olemassa nopeaa testiä, sisältääkö PHP-versioni korjauksen?
PHP-käsikirjan mukaan versio, joka ei tunne direktiiviä memory_hard_limit_percent, on haavoittuva. Testi on ajettava jokaiselle PHP-versiolle ja ajotavalle erikseen, sillä komentorivi voi käyttää eri versiota kuin verkkopalvelin.
Koskevatko haavoittuvuudet myös vanhempia PHP-versioita kuten 7.4 tai 8.0?
Alan lehdistön mukaan haavoittuvia ovat lähes kaikki versiot aina PHP 5.4:ään asti. Versioille 8.1 ja vanhemmat PHP-projekti ei enää julkaise virallisia päivityksiä, vain minimaalisia lähdekoodin backporteja. Onko palveluntarjoaja asentanut ne, sen on vahvistettava.
Suojaako Cloudflare minua, jos haavoittuvuus koskee minua?
Osittain. Cloudflare on ottanut käyttöön suojasääntöjä, mutta varoittaa itse, etteivät ne korvaa päivitystä. Jos alkuperäpalvelimenne on suoraan tavoitettavissa, suoja ohitetaan.