PHP turvanõrkus: kas Sinu koduleht on ohus?

21. oktoobril 2026 avaldati PHP-le kriitilised turvaparandused, mis puudutavad miljoneid veebilehti üle maailma. Turvanõrkused võivad võimaldada ründajal serveris koodi käivitada ilma sisse logimata.

Ohus võivad olla PHP-l töötavad veebilehed, sealhulgas WordPressi, WooCommerce'i, Joomla ja Drupali lehed ning eritellimusel arendatud veebirakendused.

Kui sinu kodulehe PHP-d pole hiljuti uuendatud, tasub kohe kontrollida, kas veebimajutaja on vajalikud turvaparandused paigaldanud.

Mis on PHP2Shell?

PHP2Shell on nimetus kahele kriitilisele PHP turvanõrkusele:

• CVE-2026-109618

• CVE-2026-109619

Mõlema turvanõrkuse raskusaste on 9,2 punkti kümnest. PHP arendajate sõnul võivad need võimaldada ründajal käivitada serveris pahatahtlikku koodi ilma kasutajakontot omamata.

Lihtsamalt öeldes võib ründaja saada ligipääsu veebiserverile, muuta kodulehe faile või varastada tundlikke andmeid, sealhulgas e-poe klientide ja tellimuste infot.

See ei tähenda, et kõik veebilehed oleksid juba häkitud. Oht tekib siis, kui turvanõrkus on parandamata ja ründajal õnnestub seda ära kasutada.

PHP avaldas vajalikud turvauuendused 21. oktoobril 2026.

Allikas: PHP ametlik turvateade.

Kas minu koduleht on ohus?

Kui sinu koduleht kasutab PHP-d ja vajalik turvaparandus on paigaldamata, võib veebileht olla haavatav.

See puudutab muu hulgas:

• WordPressi veebilehti

• WooCommerce'i e-poode

• Joomla ja Drupali veebilehti

• Eritellimusel loodud PHP veebirakendusi

Turvaparandused sisalduvad järgmistes PHP versioonides:

PHP versioonParandatud versioonPHP 8.58.5.12PHP 8.48.4.27PHP 8.38.3.36PHP 8.28.2.35

Oluline: väiksema versiooninumbriga PHP ei pruugi automaatselt olla kaitseta. Mõned veebimajutajad paigaldavad turvaparandusi ka vanematele versioonidele ilma versiooninumbrit muutmata.

PHP 8.1 ja vanemad versioonid ei saa enam PHP arendajatelt tavapäraseid turvauuendusi. PHP 8.2 turvatugi lõpeb 31. detsembril 2026.

Kui kasutad vana PHP versiooni, tasub planeerida üleminek uuemale ja toetatud versioonile.

Kuidas kontrollida oma kodulehe PHP versiooni?

WordPressi kasutajad leiavad PHP versiooni järgmiselt:

1. Logi WordPressi haldusesse.

2. Ava Tööriistad → Saidi tervis → Info.

3. Leia jaotis Server.

4. Vaata rida „PHP versioon”.

PHP versiooni saab kontrollida ka veebimajutuse juhtpaneelist.

Pea siiski meeles, et versiooninumber üksi ei kinnita turvalisust. Kõige kindlam on küsida veebimajutajalt, kas PHP2Shelli turvanõrkused on parandatud.

Mida peaksid kohe tegema?

1. Võta ühendust veebimajutajaga

Küsi, kas serveris kasutatav PHP on turvanõrkuste CVE-2026-109618 ja CVE-2026-109619 vastu paigatud.

Samuti tasub uurida, kas PHP teenus on pärast uuendamist taaskäivitatud, et parandused oleksid kindlasti rakendunud.

2. Kontrolli veebilehe tarkvara

Kui kasutad WordPressi, kontrolli ka sisuhaldustarkvara, teema ja pluginate uuendusi.

PHP turvauuendus parandab konkreetsed serveritarkvara nõrkused, kuid aegunud WordPressi pluginad võivad sisaldada eraldi turvaauke.

Regulaarne kodulehe hooldus aitab hoida tarkvara ajakohasena, teha varukoopiaid ja vähendada veebilehe turvariske.

3. Tee veebilehest varukoopia

Enne PHP versiooni muutmist või suuremaid tarkvarauuendusi tee kindlasti varukoopia nii veebilehe failidest kui ka andmebaasist.

Vanemad teemad ja pluginad ei pruugi uuema PHP versiooniga korrektselt töötada.

4. Ära lükka turvauuendust edasi

PHP arendajate sõnul ei ole nende turvanõrkuste vastu täielikult toimivat ajutist kaitsemeedet. Kõige kindlam lahendus on parandatud PHP versiooni kasutamine.

Kuidas teada saada, kas kodulehte on juba rünnatud?

PHP2Shelli ärakasutamine ei pruugi veebilehe külastajale kohe nähtav olla.

Võimalikud ohumärgid on:

• Veebilehel esinevad ootamatud vead või katkestused.

• Serverilogides ilmnevad ebatavalised päringud ja korduvad veateated.

• Veebilehe failidesse on tekkinud tundmatuid muudatusi.

• Google Search Console kuvab turvahoiatusi.

• Veebileht suunab külastajaid tundmatutele aadressidele.

Samas ei tõesta nende sümptomite puudumine, et veebilehte pole rünnatud.

Kui kahtlustad rünnakut, pöördu veebimajutaja või turvaspetsialisti poole. Vajadusel saab juhtumist teada anda ka Eesti küberturbeintsidentide käsitlemise keskusele CERT-EE: raport.cert.ee.

Mida ütlevad RIA ja Zone?

Riigi Infosüsteemi Amet (RIA) hoiatas 21. oktoobril 2026 kahe kriitilise PHP turvanõrkuse eest ja soovitas süsteemihaldajatel turvaparandused esimesel võimalusel paigaldada.

RIA rõhutas, et kõigepealt tuleb kontrollida internetist ligipääsetavaid PHP-süsteeme.

Allikas: RIA turvahoiatus.

Eesti veebimajutaja Zone teatas, et rakendas vajalikud kaitsemeetmed ja paikas ka vanemad PHP versioonid 5.6–8.1.

Zone'i hallatud veebimajutuse kliendid ei pea nende paranduste pärast ise midagi tegema. Enda hallatava VPS-i või privaatserveri kasutajad vastutavad aga serveritarkvara uuendamise eest ise.

Allikas: Zone PHP turvauuenduste teade.

Kas PHP uuendamisest piisab?

PHP2Shelli turvanõrkuste kõrvaldamiseks piisab korrektselt paigaldatud ja rakendatud PHP turvaparandusest.

See ei tähenda siiski, et kogu veebileht oleks automaatselt turvaline.

WordPressi, WooCommerce'i ja teiste sisuhaldussüsteemide turvalisus sõltub ka nende tarkvara, pluginate, teemade, serveriseadistuste ja varukoopiate ajakohasusest.

Kui veebilehte on enne turvauuendust juba rünnatud, ei eemalda PHP uuendamine ründaja lisatud pahatahtlikke faile. Sellisel juhul tuleb veebilehte eraldi kontrollida ja vajadusel puhastada.

Vajad abi kodulehe turvalisuse või PHP uuendamisega?

Kui sa ei tea, millist PHP versiooni sinu veebileht kasutab, või pole kindel, kas turvaparandused on paigaldatud, tasub lasta veebileht spetsialistil üle kontrollida.

Kodulehed.eu aitab WordPressi veebilehtede ja e-poodide hoolduse, tarkvarauuenduste, PHP versioonide uuendamise ning veebilehe turvalisusega.

Pakume hooldust ka veebilehtedele, mis on algselt loodud mõne teise teenusepakkuja poolt.

Tutvu meie teenusega: Kodulehe hooldus ja turvalisus – Kodulehed.eu.

Kui vajad abi või soovid teada, millised hooldustööd sinu veebilehel vajalikud on, küsi personaalset hinnapakkumist.

Ära oota, kuni turvaprobleem sinu veebilehte mõjutab. Õigeaegne hooldus ja uuendused aitavad vältida kulukaid probleeme ning hoida veebilehe töökindlana.