# PHP2Shell-murto? Soittakaa. Autamme.

> PHP2Shell-hyökkäystä epäillään? Varmistamme jäljet, suljemme haavoittuvuuden ja puhdistamme palvelimen. Soittakaa tai kirjoittakaa WhatsAppilla.

Lähde: https://phpsos.de/fi/soforthilfe/php2shell-gehackt/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** Jos epäilette, että palvelimeenne on murtauduttu PHP2Shellin kautta, ottakaa yhteyttä nyt. Koskeeko tämä teitä? Soittakaa. Autamme. Otamme ensimmäisestä viestistä alkaen vastuun: hoidamme rajaamisen, varmistamme jäljet, suljemme haavoittuvuuden, poistamme haittakoodin ja dokumentoimme tapauksen, kunnes se on käsitelty loppuun.

> **Toimi heti:**
> **Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen.** Poistetut tiedostot ja päällekirjoitetut lokit ovat jälkiä, joista selviää, onko joku päässyt sisään ja miten. Ottakaa palvelin tarvittaessa pois verkosta, mutta jättäkää se muuttamattomaksi. [Ilmoittakaa hätätilanne](https://phpsos.de/fi/notfall/), niin kerromme seuraavan vaiheen.

## Koskeeko tämä teitä? Merkkejä siitä, että PHP2Shelliä on jo käytetty

PHP2Shell on nimi kahdelle kriittiselle haavoittuvuudelle itse PHP:ssä, joiden avulla hyökkääjät voivat suorittaa haittakoodia etänä ilman kirjautumista. Yksiselitteistä sormenjälkeä ei toistaiseksi ole. Siksi ratkaisevaa on, mitä palvelin tekee, ei se, mitä skanneri löytää. Murtoon viittaavat:

- Verkkopalvelin- tai PHP-FPM-prosessit, jotka käynnistävät shellin kuten `sh` tai `bash`. Se on vahva varoitusmerkki.
- Uudet tai muuttuneet PHP-tiedostot upload-, välimuisti- tai temp-kansioissa, joita kukaan ei ole luonut.
- Cron-työt, palvelut tai SSH-avaimet, joita ette tunnista.
- Lähtevät yhteydet tuntemattomiin kohteisiin, äkillisesti suuri kuormitus tai epätavallinen tietoliikenne.
- Lokien pyynnöt 17.10.2026 alkaen, erityisesti poikkeavat tiedostolataukset ja istuntopyynnöt ennen korjauksen asentamista.
- Hosting-yrityksen, selaimen tai hakukoneen ilmoitukset roskapostista, haittaohjelmista tai uudelleenohjauksista.

Lisää aiheesta sivulla [Olenko jo vaarantunut?](https://phpsos.de/fi/php2shell/bin-ich-gehackt-anzeichen/). Se, ettei merkkejä ole, ei todista palvelinta puhtaaksi. Se tarkoittaa vain, ettei mitään ole toistaiseksi huomattu.

## Mitä teette heti

1. **Älkää muuttako mitään.** Älkää poistako tiedostoja, palauttako varmuuskopiota tai asentako uudelleen, ennen kuin varmistus on tehty.
2. **Varmistakaa lokit.** Pyytäkää hosting-yritystänne tai IT-tukeanne olemaan päällekirjoittamatta käyttö-, virhe- ja järjestelmälokeja. Alan lehdistö neuvoo säilyttämään lokit 20.10.2026 alkaen.
3. **Päättäkää saavutettavuudesta.** Jos tietoja voi vuotaa tai kävijät voivat olla vaarassa, siirtäkää sivusto pois verkosta tai huoltotilaan.
4. **Kootkaa tunnukset.** Kirjatkaa, kenellä on pääsy palvelimeen, hallintapaneeliin, CMS:ään ja tietokantaan. Salasanat vaihdetaan vasta sovittuaan ja puhtaalta laitteelta.
5. **Tiedottakaa.** Johto, tietosuojavastaava ja, jos vakuutus on voimassa, vakuutusyhtiö.
6. **Soittakaa tai kirjoittakaa meille.** Mitä aiemmin tunnemme tilanteen, sitä enemmän pystytään todentamaan.

## Miten PHP SOS auttaa konkreettisesti?

Työskentelemme etänä, ilman matkustamista, kaikkialla Saksassa ja Euroopassa.

1. **Tilanteen kartoitus:** Selvitämme, mitkä järjestelmät ovat käytössä, mikä PHP:n ajotapa on käytössä, mitä on huomattu ja mitkä tiedot voivat olla vaarassa.
2. **Varmistus ja sulkeminen:** Varmistamme tiedostot, tietokannan ja lokit sekä kirjaamme tilan ennen jokaista muutosta. Sen jälkeen suljemme haavoittuvuuden korjauksella tai, jos se ei vielä onnistu, väliaikaisilla toimilla, ja käynnistämme kaikki PHP-prosessit uudelleen.
3. **Tarkistus ja puhdistus:** Etsimme web shellejä, takaovia, cron-töitä ja vieraita pääsyoikeuksia ja poistamme ne tai rakennamme tilan uudelleen luotettavista lähteistä. Toimintatavan kuvaa [Haittaohjelmien ja web shellien poistatus](https://phpsos.de/fi/leistungen/malware-entfernung/).
4. **Koventaminen ja raportointi:** Vaihdamme vaarantuneet salaisuudet, täydennämme suojatoimia ja toimitamme raportin, jossa todennettu, todennäköinen ja tuntematon on erotettu toisistaan.

Jos tapaus laajenee yhtä palvelinta pidemmälle, siirrymme jäsenneltyyn [tietoturvapoikkeamien hallintaan (Incident Response)](https://phpsos.de/fi/leistungen/incident-response/). Jos tarvitaan todisteita, jotka kestävät oikeudessa, otamme mukaan [IT-forensiikan](https://phpsos.de/fi/leistungen/it-forensik/).

## Miksi pelkkä korjaus ei hyökkäyksen jälkeen riitä

Haavoittuvuudet ovat PHP-tulkissa, eivät CMS:ssä. PHP-projekti julkaisi 21.10.2026 versiot 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Kun päivitys on tehty ja kaikki worker-prosessit käynnistetty uudelleen, olette suojassa uusilta tämän reitin kautta tehtäviltä hyökkäyksiltä. Se, minkä hyökkääjä on ehtinyt jättää aiemmin, jää kuitenkin paikalleen: web shell, ylimääräinen tili, ajastettu tehtävä. Juuri siksi 17. ja 21.10. välinen aika on erityisen tärkeä.

Lisäksi on toinenkin seikka: web shell on usein vasta ensimmäinen askel. Se, joka pystyi suorittamaan koodia verkkopalvelimella, pystyi myös lukemaan asetustiedostoja ja ottamaan niistä tietokannan, sähköpostin ja API:en tunnukset. Nämä salaisuudet on korvattava, muuten ovi pysyy auki vaikka PHP olisi korjattu. Miten tiedostoja ja ajankohtia kannattaa tarkistaa, kuvaa opas [web shellien tunnistamisesta](https://phpsos.de/fi/ratgeber/webshell-erkennen/).

## Ilmoitusvelvollisuus ja dokumentointi

Jos henkilötiedot ovat voineet vaarantua, valvontaviranomaiselle tehtävä ilmoitus voi tulla tarpeelliseksi 72 tunnin kuluessa. Aika alkaa kulua tiedon saamisesta, ei tutkinnan päättymisestä. Onko tapauksenne ilmoitettava, ratkaisevat tietosuojavastaava tai lakimies; emme anna oikeudellista neuvontaa. Dokumentaatiomme tarjoaa tähän perustan. Lisää määräajasta sivulla [GDPR:n 72 tunnin ilmoitusvelvollisuus](https://phpsos.de/fi/compliance/dsgvo-meldepflicht-72-stunden/) ja seuraavista vaiheista [murron jälkeisessä tarkistuslistassa](https://phpsos.de/fi/ratgeber/checkliste-nach-dem-hack/).

## Mitä teidän kannattaa lähettää meille

- Kuvaus siitä, mitä on huomattu, mistä lähtien ja kuka sen huomasi
- Palvelimen tyyppi: oma palvelin, hallinnoitu palvelin tai hosting-paketti, sekä hosting-yritys
- `php -v` -komennon tulos ja, jos tiedossa, ajotapa (PHP-FPM, mod_php, LiteSpeed)
- PHP-päivityksen ajankohta, jos se on jo tehty
- Pääsy palvelimelle tai lupa keskustella hosting-yrityksenne kanssa
- Yhteyshenkilö, jolla on päätösvalta sammuttamiseen ja uudelleenkäynnistyksiin

## Miksi PHP SOS

Työmme on Saksassa tehtyä (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Teillä on yksi yhteyshenkilö, joka kulkee mukana ensimmäisestä viestistä päätökseen asti. Kaikki, mitä teemme, dokumentoidaan, jotta voitte todentaa sen johdolle, vakuutusyhtiölle ja viranomaisille. Emme lupaa mitään, mitä kukaan ei voi pitää: jos lokit puuttuvat, sanomme sen avoimesti ja kerromme, mikä on todennettua ja mikä pysyy olettamuksena.

## Koskeeko tämä teitä? Soittakaa. Autamme.

Älkää odottako, että epäilys muuttuu varmuudeksi. Soittakaa tai kirjoittakaa WhatsAppilla. Otamme tilanteen hoitoon ensimmäisestä viestistä alkaen ja pysymme mukana, kunnes tapaus on käsitelty loppuun ja dokumentoitu. [Ilmoittakaa hätätilanne nyt](https://phpsos.de/fi/notfall/).


## Usein kysytyt kysymykset

**Riittääkö PHP:n päivitys, jos palvelimeeni on ehkä jo murtauduttu?**  
Ei. Päivitys sulkee haavoittuvuuden, mutta ei poista jo lisättyä haittaohjelmaa eikä todista, ettei aiemmin ole tapahtunut mitään. Korjauksen jälkeen palvelimelta on tarkistettava murron jäljet.

**Mistä tunnistan onnistuneen PHP2Shell-hyökkäyksen?**  
Julkaistuja, vahvistettuja Indicators of Compromise -tunnisteita ei ole. Havaitseminen perustuu käyttäytymiseen: verkkopalvelinprosessit, jotka käynnistävät shellin, uudet PHP-tiedostot upload- tai välimuistikansioissa, tuntemattomat cron-työt tai SSH-avaimet sekä epätavalliset lähtevät yhteydet.

**Pitäisikö palvelin ottaa pois verkosta, jos epäilen murtoa?**  
Usein se on oikein, sillä BSI (Saksan liittovaltion tietoturvavirasto) neuvoo ottamaan verkkopalvelimen tilapäisesti pois verkosta silloinkin, kun päivitystä ei voi tehdä heti. Tärkeää on, ettei mitään poisteta ja että lokit ja tiedostot säilytetään, jotta tapaus voidaan selvittää.

**Onko PHP2Shell-hyökkäyksen jälkeen ilmoitettava tietosuojaviranomaiselle?**  
Jos henkilötiedot voivat olla vaarantuneet, ilmoitus voi olla tarpeen 72 tunnin kuluessa. Päätöksen teette tietosuojavastaavanne tai lakimiehen kanssa; me toimitamme siihen tekniset tosiasiat.

**Onko palvelimia todella jo murrettu PHP2Shellin kautta?**  
Mediatietojen mukaan ensimmäisiä hyökkäysyrityksiä havaittiin 17.10.2026 alkaen, ja Cloudflare raportoi havaituista hyökkäysyrityksistä. BSI ei aluksi ilmoittanut vahvistetuista onnistuneista hyökkäyksistä laajassa mitassa. Yksittäistapauksessa asian voi selvittää vain itse palvelimelta.

## Lähteet

- [BSI (Saksan liittovaltion tietoturvavirasto)](https://www.bsi.bund.de/)
- [php.net: tietoturvailmoitukset](https://www.php.net/)
- [GDPR 33 artikla: ilmoitus valvontaviranomaiselle](https://dsgvo-gesetz.de/art-33-dsgvo/)