PHP:n kriittinen haavoittuvuus: onko verkkosivustosi vaarassa?

PHP: hen julkaistiin 21.10.2026 kriittisiä tietoturvapäivityksiä. Haavoittuvuudet voivat mahdollistaa koodin suorittamisen palvelimella ilman kirjautumista. Tämä voi koskea WordPress-, WooCommerce-, Joomla- ja Drupal-sivustoja sekä räätälöityjä PHP-sovelluksia.

Jos et tiedä, onko palvelimesi PHP päivitetty, pyydä verkkohotelliasi vahvistamaan korjausten tila.

Mitä PHP2Shell tarkoittaa?

PHP2Shell-nimellä viitataan kahteen kriittiseen haavoittuvuuteen: CVE-2026-109618 ja CVE-2026-109619. Niiden vakavuusarvio on 9, 2/10. Onnistunut hyökkäys voi antaa hyökkääjälle pääsyn palvelimelle, mahdollisuuden muuttaa sivuston tiedostoja tai paljastaa arkaluonteisia tietoja, kuten verkkokaupan asiakas- ja tilaustietoja.

Haavoittuvuus ei tarkoita, että jokainen PHP-sivusto olisi murrettu. Riski riippuu siitä, onko haavoittuva ohjelmisto korjaamatta ja onnistuuko hyökkäys.

Onko oma sivustoni vaarassa?

Jos sivusto käyttää PHP: tä eikä tarvittavia korjauksia ole asennettu, se voi olla haavoittuva. Korjaukset sisältyvät versioihin PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Palveluntarjoaja voi myös siirtää tietoturvakorjauksia vanhempaan versioon muuttamatta näkyvää versionumeroa, joten pelkkä numero ei yksin todista suojauksen tilaa.

PHP 8.1 ja sitä vanhemmat versiot eivät enää saa tavallisia tietoturvapäivityksiä. Suunnittele siirtyminen tuettuun versioon, jos käytät vanhentunutta PHP: tä.

Miten tarkistan PHP-version?

WordPressissä avaa hallintapaneelin Työkalut → Sivuston terveys → Tiedot → Palvelin ja etsi PHP-version kohta. Version näkee usein myös verkkohotellin hallintapaneelista. Varmista palveluntarjoajalta erikseen, että juuri nämä haavoittuvuudet on korjattu.

Mitä pitää tehdä nyt?

1. Ota yhteyttä verkkohotelliin

Kysy, onko PHP korjattu haavoittuvuuksia CVE-2026-109618 ja CVE-2026-109619 vastaan ja onko palvelu käynnistetty uudelleen niin, että korjaukset ovat voimassa.

2. Tarkista sivuston ohjelmisto

Päivitä tarvittaessa WordPress, käytössä oleva teema ja lisäosat. PHP: n tietoturvakorjaus ei poista muiden ohjelmistojen erillisiä haavoittuvuuksia.

3. Tee varmuuskopio

Varmuuskopioi sivuston tiedostot ja tietokanta ennen PHP-version vaihtamista tai merkittäviä päivityksiä. Vanhat teemat ja lisäosat eivät välttämättä toimi uudemmalla PHP-versiolla.

4. Älä lykkää korjausta

PHP: n kehittäjien mukaan väliaikaiset torjuntakeinot eivät poista näitä haavoittuvuuksia kokonaan. Tarvittavien korjausten asentaminen on ensisijaista.

Mistä huomaa mahdollisen hyökkäyksen?

Merkkejä voivat olla odottamattomat virheet ja katkokset, poikkeavat lokimerkinnät, tuntemattomat tiedostomuutokset, Google Search Consolen varoitukset tai uudelleenohjaukset vieraille sivustoille. Näiden merkkien puuttuminen ei kuitenkaan todista sivustoa turvalliseksi.

Jos epäilet tietomurtoa, ota yhteyttä palveluntarjoajaasi tai tietoturva-asiantuntijaan. Alkuperäinen artikkeli viittaa myös Viron CERT-EE: n ilmoituspalveluun raport.cert.ee.

Mitä viranomaiset ja palveluntarjoajat sanovat?

Viron RIA suositteli 21.10.2026 korjausten asentamista mahdollisimman nopeasti, erityisesti internetiin näkyvissä järjestelmissä. Viron Zone ilmoitti suojatoimista ja korjauksista myös vanhoihin PHP-versioihin. Oman palvelinympäristösi korjaustilanne on silti tarkistettava suoraan sen ylläpitäjältä.

Riittääkö PHP: n päivittäminen?

Oikein asennettu ja aktivoitu PHP-korjaus poistaa kyseisen ohjelmistohaavoittuvuuden. Koko sivuston turvallisuus edellyttää lisäksi WordPressin, lisäosien, teemojen, palvelinasetusten ja varmuuskopioiden ylläpitoa. Jos sivusto murrettiin ennen päivitystä, pelkkä korjaus ei poista hyökkääjän mahdollisesti jättämiä tiedostoja.

Tarvitsetko apua PHP: n päivitykseen?

Autamme WordPress- ja WooCommerce-sivustojen ylläpidossa, ohjelmistopäivityksissä, PHP-version vaihdossa ja tietoturvan tarkistuksessa. Tutustu verkkosivujen ylläpitoon tai pyydä tarjous.