Lühidalt: PHP on avatud lähtekoodiga skriptikeel, mida kasutatakse peamiselt veebirakendustes. Kood töötab serveris, loob seal HTML-i ja saadab brauserile ainult tulemuse. Kuna paljud CMS-id, poed ja sisemised tööriistad ehitavad PHP-le, on serveri PHP versioon omaette turvategur, mis ei sõltu CMS-i uuendusest.
Mis on PHP? Definitsioon lihtsate sõnadega
PHP käsiraamat kirjeldab PHP-d kui laialt levinud, avatud lähtekoodiga üldotstarbelist skriptikeelt, mis sobib eriti hästi veebiarenduseks ja mida saab HTML-i sisse põimida. Nimi on rekursiivne akronüüm, st lühend, mis sisaldab iseennast: „PHP: Hypertext Preprocessor“.
Otsustav erinevus brauseris töötavast JavaScriptist: PHP kood käivitatakse serveris. Külastaja saab ainult valmis tulemuse ega näe lähtekoodi. See teeb PHP sobivaks kõigeks, mis peab jääma konfidentsiaalseks, näiteks andmebaasipöördused, sisselogimised või hinnaarvutused.
Käsiraamatu järgi on PHP-l kaks peamist kasutusvaldkonda: serveripoolsed skriptid veebisaitide jaoks ja käsureal töötavad skriptid, näiteks regulaarsed ülesanded cron-i kaudu. Mõlemat leiab peaaegu igast ettevõttest, mis haldab oma veebisaiti, poodi või kliendiportaali.
Kus peitub PHP teie ettevõttes?
PHP on harva otse nähtav. See peitub tarkvaras, mida te tunnete teise nime all. Tüüpilised näited:
- Sisuhaldussüsteemid nagu WordPress, TYPO3, Joomla, Drupal või Contao
- Poesüsteemid nagu Shopware, WooCommerce, Magento või PrestaShop
- Sisemised teenused nagu Nextcloud, Moodle, MediaWiki või Matomo
- Oma arendused raamistike nagu Laravel või Symfony baasil
- Seadmete ja majutuspaneelide veebiliidesed
Iga selline rakendus vajab paigaldatud PHP käitusaega ehk programmi, mis PHP koodi käivitab. See käitusaeg on eraldi tarkvara oma uuendustega. WordPressi või Shopware'i uuendus PHP-d ei uuenda. Seetõttu kuulub küsimus, kes milliseid süsteeme haldab, inventuuri, nagu kirjeldab artikkel Kõigi veebisaitide ja serverite inventuur.
Milline PHP kood välja näeb?
PHP kood asub märkide <?php ja ?> vahel. Kõik väljaspool seda väljastatakse muutmata kujul HTML-ina. Väike, kahjutu näide:
<?php
$stunde = (int) date('G');
$gruss = $stunde < 12 ? 'Guten Morgen' : 'Guten Tag';
?>
<!DOCTYPE html>
<html lang="de">
<body>
<p><?= htmlspecialchars($gruss) ?>, heute ist der <?= date('d.m.Y') ?>.</p>
</body>
</html>
Server käivitab PHP osa ja saadab brauserile ainult valmis HTML-i, näiteks „Guten Tag, heute ist der 25.10.2026“. Funktsioon htmlspecialchars() muudab erimärgid ümber ja kaitseb nii sissetoodud HTML-i eest. Sellised sisseehitatud kaitsefunktsioonid on üks põhjus, miks korralikult kirjutatud PHP kood võib olla turvaline.
Millest PHP keskkond koosneb?
PHP veebisait ei koosne ainult rakenduse koodist. Mitu kihti töötab koos ja iga vajab oma hooldust:
| Osa | Ülesanne | Kes tavaliselt uuendab? |
|---|---|---|
| Veebiserver (Apache, Nginx, LiteSpeed) | võtab võrgust päringuid vastu | veebimajutaja või serveri administraator |
| PHP käitusaeg (interpretaator) | käivitab PHP koodi | veebimajutaja, serveri administraator, paketiallikas |
| Laiendused | andmebaasidraiverid, pilditöötlus, krüpteerimine | koos PHP käitusajaga |
Seadistus (php.ini) |
piirid, veaväljund, sessioonid | serveri administraator |
| Rakendus (CMS, pood) | sisu ja ärilogiika | agentuur või oma meeskond |
| Pistikprogrammid ja teegid | lisafunktsioonid | agentuur või oma meeskond |
Ühendust veebiserveri ja PHP vahel nimetatakse SAPI-ks (Server Application Programming Interface). See, kas PHP töötab Apache'i moodulina, PHP-FPM-i kaudu või CGI-na, mõjutab käitamist ja turvalisust. Lisateavet leiate lehelt SAPI selgitus ja artiklist Kuidas PHP veebilehe loob.
Miks PHP versioon turvalisuse jaoks loeb
Iga PHP versiooni hooldatakse ainult piiratud aja. php.net-i andmetel saab iga versiooniharu kaks aastat aktiivset tuge ja seejärel veel kaks aastat ainult turvaparandusi. Pärast seda on haru eluea lõpus ega saa enam ametlikke uuendusi. Üksikasjad leiate lehelt PHP versioonid ja väljalasketsükkel.
Kui oluline see on, näitab PHP2Shell. 2026. aasta oktoobris sai teatavaks kaks kriitilist turvaauku PHP-s endas, CVE-2026-109618 ja CVE-2026-109619, mõlemad CVSS v4.0 hindega 9,2. Need võimaldavad kahjuliku koodi kaugkäivitamist ilma sisselogimiseta. Parandatud on need versioonides PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemate jaoks ametlikke uuendusi enam ei ole.
Otsustajatele tuleneb sellest kolm punkti:
- CMS-i uuendus ei sulge PHP turvaauku. Mõlemat tuleb uuendada eraldi.
- Pärast PHP uuendust tuleb kõik PHP protsessid uuesti käivitada, muidu töötab vana kood mälus edasi.
- Paik ei tõesta, et enne ei juhtunud midagi. Kaitsmata serverite puhul kuulub juurde jälgede kontroll.
Selgitage kirjalikult, kes teie juures PHP käitusaja eest vastutab: veebimajutaja, agentuur või oma IT. PHP2Shelli puhul selgus, et paljudes ettevõtetes oli see küsimus lahtine.
Mis see turvaauk täpselt on ja keda see puudutab, selgitab leht Mis on PHP2Shell?.
Kuidas PHP SOS konkreetselt aitab?
- Koosseisu kaardistamine: Selgitame välja, millised teie süsteemid PHP-d kasutavad, mis versioonis ja mis töörežiimis.
- Vastutuse selgitamine: Näitame, milliseid osi hooldab teie veebimajutaja ja millised jäävad teile või teie agentuurile.
- Uuendamine: PHP paigateenuse kaudu paigaldame uuendused, käivitame kõik protsessid uuesti ja dokumenteerime seisu.
- Järelkontroll: Kus server oli kaitsmata kättesaadav, kontrollime sissemurdmise jälgi.
Korduma kippuvad küsimused
Kas PHP on programmeerimiskeel või ainult skriptikeel?
Mõlemad väited kehtivad. PHP on täisväärtuslik, üldotstarbeline programmeerimiskeel, millel on funktsioonid, klassid ja tüübid. Skriptikeeleks nimetatakse seda seetõttu, et lähtekoodi ei tõlgita eelnevalt käivitatavaks failiks, vaid PHP interpretaator töötleb seda käitusajal.
Kas minu veebisaidi külastajad näevad PHP koodi?
Ei. PHP töötab serveris, brauser saab ainult tulemuse, enamasti HTML-i. Erandid tekivad valesti seadistamisel, näiteks kui veebiserver edastab PHP faile tekstina või kui varukoopiad nagu index.php.bak on avalikult kättesaadavad.
Kuidas ma tean, kas minu veebisait töötab PHP-ga?
Enamik levinud CMS-e ja poesüsteeme, nagu WordPress, TYPO3, Shopware, Joomla või Nextcloud, on kirjutatud PHP-s. Kindlalt saab selle välja selgitada veebimajutaja, agentuuri või serveri seadistuse kaudu.
Kas ma pean juhina PHP-d mõistma?
Üksikasjades mitte. Oluline on teada, et PHP on eraldi tarkvara oma uuendustega, CMS-ist sõltumatu. Kes vastutab teie serverite PHP versiooni eest, peaks olema kirjalikult selgitatud.