# Mis on PHP2Shell? Turvaauk lihtsalt selgitatud

> PHP2Shell lihtsalt selgitatud: mis peitub kahe kriitilise PHP turvaaugu taga, millised serverid on mõjutatud ja milliseid samme peaksite nüüd astuma.

Allikas: https://phpsos.de/et/php2shell/was-ist-php2shell/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** PHP2Shell on nimi kahele kriitilisele turvaaugule PHP-s endas, CVE-2026-109618 ja CVE-2026-109619. Nende kaudu saavad ründajad haavatavates veebiserverites käivitada kahjulikku koodi ilma sisselogimata. Abi annab ainult uuendus parandatud PHP versioonile koos kõigi PHP protsesside järgneva taaskäivitusega.

## Mis on PHP2Shell?

PHP on programmeerimiskeel, millel töötab suur osa kõigist veebisaitidest: ettevõtete veebisaidid WordPressi või TYPO3-ga, e-poed Shopware'i või WooCommerce'iga, sisemised portaalid ja oma arendused. 21. oktoobril 2026 avaldas PHP projekt turvauuendused kahele turvaaugule, mis on saanud tuntuks nime PHP2Shell all.

Mõlemad turvaaugud on hinnatud CVSS v4.0 järgi 9,2, seega kriitilisteks. Tagajärg on mõlemal juhul sama: kahjuliku koodi kaugkäivitus, ilma et ründaja peaks sisse logima. Spetsialistid räägivad „unauthenticated Remote Code Execution“-ist. Kes saab serveris koodi käivitada, saab halvimal juhul andmeid lugeda, tagauksi ehitada või serverit edasisteks rünnakuteks kasutada.

Mõistmiseks oluline: turvaauk ei asu kindlas CMS-is ega pluginas, vaid PHP-s. WordPressi, Shopware'i või TYPO3 uuendus seda seetõttu ei sulge.

## Miks on turvaauk nii tõsine?

Kolm punkti teevad PHP2Shelli turvaasutuste vaates eriti kriitiliseks:

- **Laius:** Mõjutatud on PHP tavalised töörežiimid, nimelt PHP-FPM, Apache koos mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed. Palo Alto Networks (Unit 42) luges kokku üle 22,6 miljoni avalikult ligipääsetava, potentsiaalselt haavatava instantsi.
- **Sisselogimist pole vaja:** Ründajal pole vaja ei parooli ega kasutajakontot.
- **Varajane ajahetk:** Apache'i ja mod_php puhul näidati PHP meeskonna andmetel ekspluateerimist enne, kui rakenduse kood üldse käivitub. Veebisaidi-sisesed kaitsefunktsioonid ei hakka siis tööle.

BSI on välja kuulutanud hoiatustaseme 3 (oranž). See soovitab kohest uuendust ja, kui see kohe ei ole võimalik, mõjutatud veebiserverid ajutiselt võrgust maha võtta.

## Millised serverid PHP2Shelli poolt mõjutatud on?

Turvaaugud on parandatud versioonides PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Nende harude vanemad seisud on mõjutatud. PHP 8.1 ja vanemate jaoks ametlikke uuendusi enam pole; erialaajakirjanduse andmetel on mõjutatud peaaegu kõik versioonid kuni PHP 5.4-ni. Täieliku ülevaate leiate lehelt [Millised PHP versioonid on mõjutatud?](https://phpsos.de/et/php2shell/betroffene-php-versionen/).

Eripära: Linuxi distributsioonid ja veebimajutajad paigaldavad parandusi osaliselt tagasiportimisena (backport). Siis näitab näiteks Plesk edasi 8.2.34, kuigi viga on parandatud. Määrav on paketi seis ja pakkuja kinnitus. Kuidas seda kontrollida, selgitame lehel [PHP versiooni ja paigatud seisu õige kontroll](https://phpsos.de/et/php2shell/php-version-pruefen/).

## Mis on tõendatud ja mis lahtine?

**Tõendatud** on mõlemad CVE-numbrid, parandatud versioonid ja ajutised meetmed, mille php.net avaldas. 23. oktoobril lisandus märkus veel ühe turvaaugu, CVE-2026-115560, kohta, mis rakendub ainult ebatavalise seadistuse korral.

**Tõenäoline** on, et ründajad otsivad paigata servereid endiselt aktiivselt. Meediateadete kohaselt täheldati esimest ründekatset juba 17. oktoobril, seega enne paikade avaldamist. Cloudflare teatas ründekatsetest ja on kasutusele võtnud kaitsereeglid, kuid juhib tähelepanu sellele, et ainult päringuandmete põhjal koostatud reeglid ei piisa.

**Lahtine** on, kui paljusid servereid on juba edukalt rünnatud. Kinnitatud edukaid laiaulatuslikke rünnakuid BSI esialgu ei teadnud. Avaldatud ja kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise) pole. Kas server oli mõjutatud, saab seetõttu hinnata ainult käitumisanalüüsi kaudu. Ajalise käigu võtab kokku [kronoloogia 17.–25. oktoobrini](https://phpsos.de/et/ratgeber/php2shell-chronologie/).

## Mida ettevõtted nüüd tegema peaksid

1. **Selgitada, kes vastutab:** oma server, hallatav server või veebimajutaja.
2. **PHP uuendada** parandatud versioonile või kinnitatud tagasiportimisele.
3. **Käivitada kõik PHP protsessid uuesti.** Uued failid üksi ei piisa, kuni vanad protsessid mälus töötavad.
4. **Kindlustada logid,** nimelt alates 20. oktoobrist. Erialaajakirjandus soovitab need andmed alles hoida.
5. **Kontrollida jälgi.** Paik ei eemalda juba sisse toodud kahjulikku tarkvara ega tõesta, et varem midagi ei juhtunud. Näpunäiteid annab lehekülg [Kas ma olen juba kompromiteeritud?](https://phpsos.de/et/php2shell/bin-ich-gehackt-anzeichen/).

> **Oluline:**
> Uuendus sulgeb ukse, kuid ei korista. Kui teie server oli 17. oktoobri ja paiga vahel kättesaadav, on jälgede kontroll kohustus, mitte lisa.

## Kuidas PHP SOS konkreetselt aitab?

[PHP2Shelli kohese abiga](https://phpsos.de/et/leistungen/php2shell-soforthilfe/) võtame enda peale sammud, mida paljud ettevõtted sisemiselt lühikese ajaga katta ei suuda:

- **Inventuur:** Selgitame välja iga mõjutatud serveri PHP versiooni, töörežiimi ja paketi seisu.
- **Paik või üleminek:** Paigaldame uuenduse või rakendame, kus see veel ei õnnestu, php.net-i ajutised meetmed ning selgitame küsimuse, kas server peab ajutiselt võrgust maha minema.
- **Taaskäivitus ja tõend:** Käivitame kõik PHP protsessid uuesti ja dokumenteerime seisu enne ja pärast.
- **Jälgede kontroll:** Kindlustame logid alates 20. oktoobrist ja kontrollime kõrvalekaldeid, kuni intsident on lõpetatud ja dokumenteeritud.


## Korduma kippuvad küsimused

**Kas PHP2Shell on WordPressi turvaauk?**  
Ei. Turvaaugud asuvad PHP-s, see tähendab programmeerimiskeeles, millel töötavad WordPress, Shopware, TYPO3 ja paljud teised süsteemid. CMS-i uuendus neid seetõttu ei sulge. Otsustav on PHP seis serveris.

**Kas pean veebimajutaja kliendina ise midagi tegema?**  
Jagatud veebimajutuse puhul paigaldab PHP uuenduse üldjuhul veebimajutaja. Siiski peaksite laskma endale kirjalikult kinnitada, et teie kasutatav PHP versioon on paigatud ja uuesti käivitatud. Kas enne paika midagi juhtus, sellele uuendus vastust ei anna.

**Kust tuleb nimi PHP2Shell?**  
Nimi kirjeldab tagajärge: PHP kaudu võib ründaja halvimal juhul saada serveris käsurea ehk shelli. Ametlikud tähised on CVE-numbrid CVE-2026-109618 ja CVE-2026-109619.

**Kas minu veebisaiti on juba rünnatud, kui see võeti võrgust maha?**  
Mitte tingimata. Mõned pakkujad on veebisaite ettevaatusest võrgust maha võtnud, nagu BSI soovitab, kui uuendust ei saa kohe teha. See on kaitsemeede, mitte rünnaku tõend.

## Allikad

- [php.net: turvateated](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Saksamaa föderaalne infoturbeamet](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)