# PHP turvaauk lihtsalt selgitatud

> PHP turvaauk lihtsalt selgitatud: mis on PHP, mis PHP2Shelli puhul valesti läheb, mida erialatermid tähendavad ja mida käitajad nüüd tegema peaksid.

Allikas: https://phpsos.de/et/blog/php-luecke-einfach-erklaert/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** PHP turvaauk lihtsalt selgitatud: PHP on veebiserveri tarkvara, mis paneb veebisaidid kokku sel hetkel, kui keegi need avab. PHP2Shelli puhul ei koristata PHP-s teatud erandjuhtudel korralikult, ja just seda saavad ründajad ära kasutada, et ilma paroolita serveris omi käske käivitada. Abinõuks on PHP uuendus koos järgneva taaskäivitusega, mille paigaldab tavaliselt teie veebimajutaja või teenusepakkuja.

## Miks just nüüd kõik PHP-st räägivad

Uudistes räägiti „kriitilisest turvaaugust“, ametiasutused võtsid veebisaidid võrgust maha, BSI (Saksamaa föderaalne infoturbeamet) hoiatas tasemega oranž. Paljudele omanikele ja töötajatele kõlab see ähvardavalt ja samas arusaamatult. Mis on PHP ja miks see puudutab just oma ettevõtte veebisaiti?

See artikkel selgitab olukorda ilma žargoonita. Kes tahab pärast sügavamale minna, leiab tehnilise hinnangu lehelt [Mis on PHP2Shell?](https://phpsos.de/et/php2shell/was-ist-php2shell/).

## Mida PHP tegelikult teeb: pilt igapäevaelust

Kujutage oma veebisaiti ette restoranina. Külaline on külastaja, tellimus on lehe avamine. PHP on köök: see võtab iga tellimuse vastu, toob koostisosad laost ehk andmebaasist ja serveerib taldriku ehk valmis lehe.

Et asi kiiresti käiks, on köögis mitu kokka, kes töötlevad üksteise järel palju tellimusi. Spetsialistid nimetavad neid „workeriteks“. Pärast iga tellimust peaks töökoht täielikult koristatud olema, enne kui järgmine tuleb.

PHP-ga töötavad väga paljud tuntud süsteemid: WordPress, Shopware, TYPO3, Joomla, Nextcloud ja lugematud omaarendused. Kuidas PHP põhimõtteliselt töötab, selgitab artikkel [Mis on PHP?](https://phpsos.de/et/php/was-ist-php/).

## PHP turvaauk lihtsalt selgitatud: mis PHP2Shelli puhul valesti läheb

PHP2Shell koosneb kahest veast. Mõlemad on seotud koristamisega ja mõlemad ilmnevad ainult erandolukordades.

**Esimene viga (CVE-2026-109618):** Vahel saab köögil kokkamise keskel ruum otsa. Spetsialistid ütlevad „Out of Memory“, mälu on täis. Siis katkestatakse töö, kui tellimus on alles poolenisti ette valmistatud. Järgnevas koristamises peab PHP pooleliolevaid asju ekslikult valmis olevateks.

**Teine viga (CVE-2026-109619):** Pärast tellimust jääb töökohale midagi seisma, mis oleks pidanud juba ära koristatud olema. Samale kokale järgmine tellimus pääseb sellele ligi enne, kui see eemaldatakse.

Mõlemal juhul kehtib: kes täpselt teab, kuidas seda erandolukorda esile kutsuda, saab panna köögi tegema asju, mida kunagi ei tellitud. Halvimal juhul võtab ta serveri üle. Parooli tal selleks vaja ei ole. Kuidas PHP päringut samm-sammult töötleb, kirjeldab artikkel [Päringu elutsükkel](https://phpsos.de/et/php/request-lebenszyklus/).

> **Näpunäide:**
> Te ei pea tehnikat mõistma, et õigesti tegutseda. Otsustav on üks küsimus oma veebimajutajale või teenusepakkujale: Kas PHP on meie serveris uuendatud ja uuesti käivitatud ning kas te saate seda kirjalikult kinnitada?

### Olulisemad mõisted ühe pilguga

| Mõiste | Lihtsalt selgitatud |
|---|---|
| PHP | serveri tarkvara, mis paneb veebilehed avamisel kokku |
| Turvaauk | viga, mida võõrad saavad ära kasutada |
| CVE-number | turvaauku ülemaailmselt ühene tunnusnumber |
| CVSS 9,2 | tõsiduse aste skaalal kuni 10; 9,2 loetakse kriitiliseks |
| Remote Code Execution | võõrad saavad kaugelt serveris omi käske käivitada |
| Shell | käsurida, millega serverit saab juhtida |
| Paik | uuendus, mis vea kõrvaldab |
| Backport | parandus, mis viiakse vanemasse versiooni, versiooninumbrit muutmata |
| Taaskäivitus | vanad PHP protsessid lõpetada, et parandatud versioon tegelikult töötaks |

## Miks uuendus, taaskäivitus ja kontroll kokku kuuluvad

Jäägem restorani juurde. Uuendus on köögile uus tööjuhend: edaspidi koristatakse nii. Ainult töötavad kokad, kes parajasti vahetuses on, jätkavad veel vana juhendi järgi. Alles vahetuse vahetudes kehtib uus. Täpselt see on taaskäivitus: kõik vanad PHP protsessid lõpetatakse, uued käivituvad parandatud versiooniga. Ilma taaskäivituseta on uuendus serveris küll olemas, kuid ei mõju.

Ja veel üks asi, mida pilt näitab. Uus tööjuhend hoiab ära tulevasi äpardusi, kuid ei ütle midagi selle kohta, kas eelnevatel päevadel oli keegi märkamatult köögis ja midagi peitis. Seetõttu kuulub pärast uuendust juurde jälgede kontroll, eriti kui server oli 17. oktoobri ja uuenduse vahelisel ajal kättesaadav.

## Mida peaksite nüüd tegema: kolm tüüpilist lähteolukorda

Mida teha, sõltub sellest, kus teie veebisait asub.

1. **Teie veebisait asub veebimajutajal (jagatud veebimajutus).** Veebimajutaja paigaldab PHP uuenduse tavaliselt ise. Teie ülesanne: hankida kirjalik kinnitus ja kontrollida kliendimenüüs, kas on seatud ajakohane PHP versioon. Mis veel teie ülesanne on, seisab lehel [Jagatud veebimajutus: mida teeb veebimajutaja ja mida peate tegema teie](https://phpsos.de/et/server/shared-hosting/).
2. **Teie veebisaiti hooldab agentuur või IT-teenusepakkuja.** Küsige sealt, kas uuendus on paigaldatud ja PHP uuesti käivitatud, ning paluge lühikest kõrvalekallete kontrolli.
3. **Teil on oma server.** Siis vastutate teie ise või teie IT: PHP uuendada, kõik PHP protsessid uuesti käivitada, kindlustada logid alates 20. oktoobrist ja kontrollida jälgi.

Kõigil kolmel juhul kehtib: WordPressi või mõne muu veebisaidi süsteemi uuendus turvauku ei sulge. Ja uuendus ei tõenda, et enne midagi ei juhtunud.

## Kuidas PHP SOS konkreetselt aitab?

- **Arusaadavalt selgitada:** Ütleme teile selgete sõnadega, kas ja kuidas teie süsteemid on mõjutatud.
- **Veebimajutajaga rääkida:** Soovi korral selgitame paigatud seisu otse teie veebimajutaja või teenusepakkujaga.
- **Uuendada ja kontrollida:** Oma serverite puhul paigaldame uuenduse, käivitame PHP uuesti ja kontrollime jälgi.
- **Kirjalikult fikseerida:** Saate seisu lühikese dokumentatsiooni.

Rohkem lehel [PHP2Shelli kohene abi](https://phpsos.de/et/leistungen/php2shell-soforthilfe/).

## Kokkuvõte

PHP2Shell kõlab keeruliselt, olukord tuumas ei ole: teie veebisaidi köök ei koristata erandjuhtudel õigesti ja seda saab ära kasutada. Uuendus parandab selle. Teie ülesanne on tagada, et see on paigaldatud, aktiveeritud ja tõendatud, ning kahtluse korral lasta järele vaadata, kas köögis oli enne keegi.


## Korduma kippuvad küsimused

**Mis on PHP lihtsate sõnadega?**  
PHP on programmeerimiskeel, mis töötab veebiserveris. Kui avate lehe, paneb PHP selle sel hetkel kokku, näiteks praeguste toodete, hindade või teie ostukorviga, ja saadab teie brauserile.

**Kas minu veebisait on mõjutatud, kui kasutan WordPressi?**  
WordPress töötab PHP-ga, seetõttu võib selle all olev server olla mõjutatud. Kas teie veebisait on ohustatud, sõltub serveri PHP seisust, mitte WordPressi versioonist. Küsige oma veebimajutajalt või teenusepakkujalt PHP uuenduse kohta.

**Kas ma võin veebisaidi külastajana olla ohus?**  
Turvaauk puudutab servereid, mitte külastajate arvuteid. Kui server üle võetakse, võiksid ründajad aga näiteks sisu muuta või külastajaid võõrastele lehtedele suunata. Seetõttu on uuendus käitajatele oluline.

**Mida nimi PHP2Shell tähendab?**  
See kirjeldab võimalikku tagajärge: PHP kaudu võib ründaja halvimal juhul saada shelli ehk omamoodi serveri kaugjuhtimise. Ametlikud tähistused on CVE-2026-109618 ja CVE-2026-109619.

## Allikad

- [php.net: turvateated](https://www.php.net/)
- [BSI: Bundesamt für Sicherheit in der Informationstechnik (Saksamaa föderaalne infoturbeamet)](https://www.bsi.bund.de/)
- [ZDFheute: Sicherheitslücke bei PHP (turvaauk PHP-s)](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)