# PHP2Shelli ajajoon: sündmused 17.–25. oktoobrini 2026

> PHP2Shelli ajajoon lühidalt: esimesest rünnakukatsest 17.10. kuni seisuni 25.10.2026. Mida iga kuupäev tähendab teie logide ja kontrollide jaoks.

Allikas: https://phpsos.de/et/ratgeber/php2shell-chronologie/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** PHP2Shelli ajajoon sisaldab seni nelja tõendatud kuupäeva: esimene täheldatud rünnakukatse 17.10., php.net-i eelteade 20.10., paigad 21.10. Saksamaa aja järgi kell 16 ning järgmine teade CVE-2026-115560 kohta 23.10.2026. Haldajatele tähendab see: paigata, taaskäivitada kõik PHP protsessid ja turvata logid hiljemalt alates 20.10.

## Miks on PHP2Shelli ajajoon haldajatele oluline

Sellise raskusastmega turvaaugu puhul ei loe ainult see, kas teie server on täna paigatud. Otsustav on ka see, kui kaua see enne haavatav oli. See ajaaken määrab, milliseid logisid turvate, milliseid faile kontrollite ja kas saate kompromiteerimise põhjendatult välistada.

PHP2Shell puudutab PHP-d ennast, mitte üksikut sisuhaldussüsteemi. Kaks kriitilist turvaauku, CVE-2026-109618 ja CVE-2026-109619, võimaldavad kahjuliku koodi kaugkäivitamist ilma sisselogimata. Mõlemad on hinnatud CVSS v4.0 skaalal 9,2. Arusaadava sissejuhatuse leiate lehelt [Mis on PHP2Shell?](https://phpsos.de/et/php2shell/was-ist-php2shell/).

Allolev ajajoon sisaldab ainult andmeid, mis on seisuga 25.10.2026 tõendatud. Kui väide tugineb meediaraportitele, on see märgitud.

| Kuupäev | Sündmus | Alus |
|---|---|---|
| 17.10.2026 | Esimene täheldatud rünnakukatse (Amazon) | Meediaraportid |
| 20.10.2026 | php.net-i eelteade | php.net |
| 21.10.2026, 14:00 UTC | Paikade avaldamine (Saksamaa aja järgi kell 16) | php.net |
| 23.10.2026 | Teade CVE-2026-115560 kohta | php.net |
| 25.10.2026 | Selle ülevaate seis | – |

## 17. oktoober: esimene täheldatud rünnakukatse

Meediaraportite kohaselt täheldati 17.10.2026 esimest rünnakukatset, millest teatas Amazon. See oli neli päeva enne paikasid. Seega oli periood, mil rünnakuid juba üritati, kuid uuendust veel ei olnud.

Kas ja kui paljud rünnakud selles faasis õnnestusid, ei ole tõendatud. Teie enda kontrolli jaoks on oluline järeldus: täna paigatud server võis olla juba varem kompromiteeritud. Paik ei eemalda sisse toodud kahjutarkvara ega tõesta, et varem midagi ei juhtunud.

## 20. ja 21. oktoober: eelteade ja paigad

20.10.2026 teatas PHP projekt turvauuendustest php.net-is ette. 21.10.2026 kell 14:00 UTC ehk Saksamaa aja järgi kell 16 järgnesid parandatud versioonid.

| Haru | Viimane haavatav seis | Parandatud versioonis |
|---|---|---|
| PHP 8.5 | 8.5.11 | 8.5.12 |
| PHP 8.4 | 8.4.26 | 8.4.27 |
| PHP 8.3 | 8.3.35 | 8.3.36 |
| PHP 8.2 | 8.2.34 | 8.2.35 |

PHP 8.1 ja vanemate jaoks ametlikke uuendusi enam ei ole, on vaid minimaalsed lähtekoodi tagasiportimised (backport) versioonidele 7.4, 8.0 ja 8.1. Erialaajakirjanduse andmetel on mõjutatud peaaegu kõik versioonid kuni PHP 5.4-ni. Mõjutatud on töörežiimid PHP-FPM, Apache koos mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed. Suurimat ohtu näeb PHP meeskond mod_php puhul, kus näidati ärakasutust enne, kui rakenduse kood üldse käivitub.

Distributsioonid ja veebimajutajad portivad parandusi sageli tagasi. Siis näitab näiteks Plesk jätkuvalt versiooni 8.2.34, kuigi server on paigatud. Määrav on paketi seis ja pakkuja kinnitus, mitte kuvatud versiooninumber. Kuidas seda korrektselt kontrollida, kirjeldab leht [PHP versiooni ja paigaseisu õige kontrollimine](https://phpsos.de/et/php2shell/php-version-pruefen/).

## 23. oktoober: teade CVE-2026-115560 kohta

23.10.2026 avaldas PHP projekt veel ühe teate, seekord CVE-2026-115560 kohta. Selle kohaselt on ärakasutamine võimalik ainult ebatavalise seadistuse korral: konfiguratsioonis on serialize_handler `php_binary` või `php_serialize`, rakendus lülitab selle enne `session_start()` kutset käsuga `ini_set()` tagasi väärtusele `php` ja sessiooni üleslaadimise edenemine (session upload progress) on aktiivne.

Leevendus on lihtne ja see tuleks seada sõltumata sellest, kas te seda konstellatsiooni oma süsteemis tunnete:

```ini
; php.ini-s, FPM-i pooli seadistuses või serveri konfiguratsioonis
; mitte käsuga ini_set() ega failis .user.ini
session.upload_progress.enabled = 0
```

Seejärel taaskäivitage kõik PHP töötajad. Täielik turvateade (advisory) peaks ilmuma järgmise regulaarse veaparandusväljalaskega. Seni jääb see seadistus soovitatud üleminekulahenduseks.

## Seis 25. oktoobril: olukord ja lahtised küsimused

BSI (Saksamaa föderaalne infoturbeamet) on välja kuulutanud hoiatustaseme 3 / oranž. Ta soovitab uuendada kohe ja, kui see ei ole kohe võimalik, võtta veebiserverid ajutiselt võrgust maha. BSI arvestas kiire ulatusliku ärakasutamisega; laialdaselt õnnestunud rünnakuid ei olnud BSI andmetel esialgu teada. BSI hinnangut võtab kokku leht [Mida BSI PHP2Shelli kohta soovitab](https://phpsos.de/et/compliance/bsi-empfehlungen/).

Cloudflare teatas täheldatud rünnakukatsetest ja on kasutusele võtnud kaitsereeglid, kuid hoiatab, et pelgalt päringuandmete põhjal koostatud reeglitest ei piisa. Palo Alto Networks (Unit 42) luges kokku üle 22,6 miljoni avalikult kättesaadava, potentsiaalselt haavatava instantsi. Kinnitatud kompromiteerimisnäitajaid ei ole avaldatud; tuvastamine tugineb käitumisanalüüsile.

Mõned pakkujad on veebisaite ettevaatusabinõuna võrgust maha võtnud. See ei tähenda automaatselt, et need saidid on häkitud. Selle ülevaate seisuga on lahtine eelkõige see, kui paljud serverid tegelikult enne paika kompromiteeriti.

## Mida ajajoon tähendab teie logide ja kontrollide jaoks

Andmetest tulenevad kolm ajavahemikku: enne 17.10., ajavahemik 17.10. ja teie enda paigamis- ja taaskäivitusmomendi vahel ning pärast seda. Kriitiline on keskmine vahemik. Mida kauem see teil kestis, seda põhjalikum peaks kontroll olema.

> **Oluline:**
> Erialaajakirjandus soovitab serveri logisid säilitada alates 20.10.2026. Turvake ka olemasolevad vanemad logid, enne kui automaatne rotatsioon need kustutab.

Lihtne viis logid muutmata kujul turvata ja seis fikseerida:

```bash
# Logid ühe failina turvata (kohandage teed oma süsteemile)
sudo tar czf /root/logs-sicherung-$(date +%F).tar.gz /var/log/apache2 /var/log/nginx /var/log/php*
# Kontrollsumma hilisemaks tõendamiseks
sha256sum /root/logs-sicherung-*.tar.gz
# Kui kaua süsteem logisid hoiab?
grep -R "rotate" /etc/logrotate.d/
```

Märkige üles ka, millal täpselt uuendus paigaldati ja millal PHP protsessid taaskäivitati. Uued failid üksi ei kaitse, kuni mälus töötavad vanad protsessid. Kuidas turvatud logisid analüüsida, kirjeldab juhend [Veebiserveri logide analüüs pärast rünnakut](https://phpsos.de/et/ratgeber/logfiles-auswerten/).

## Kuidas PHP SOS konkreetselt aitab?

- Määrame koos teiega teie serveri tegeliku haavatavusaja: paketi seis, paigamise ajahetk, kõigi töötajate taaskäivitus.
- Turvame logid ja süsteemi seisu jälgitavalt enne, kui midagi muudetakse.
- Kontrollime käitumuslikke kõrvalekaldeid, nagu uued PHP failid, võõrad protsessid ja ebatavalised väljaminevad ühendused.
- Dokumenteerime tulemuse nii, et juhatus, andmekaitsespetsialistid ja kindlustajad saavad sellega töötada.

Tegevuste käiku kirjeldab meie [PHP2Shelli kiirabi](https://phpsos.de/et/leistungen/php2shell-soforthilfe/).


## Korduma kippuvad küsimused

**Millal PHP2Shelli paigad avaldati?**  
PHP projekt avaldas parandatud versioonid 21.10.2026 kell 14:00 UTC ehk Saksamaa aja järgi kell 16. Parandatud on PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.

**Millisest kuupäevast alates peaksin serveri logisid säilitama?**  
Erialaajakirjandus soovitab logisid säilitada alates 20.10.2026. Kuna meediaraportite kohaselt täheldati esimest rünnakukatset juba 17.10., tasub turvata ka olemasolevad vanemad logid enne, kui logide rotatsioon need kustutab.

**Kas CVE-2026-115560 on sama ohtlik kui kaks esimest turvaauku?**  
23.10.2026 antud teate kohaselt on ärakasutamine võimalik ainult ebatavalise sessiooniseadistuse korral. Leevendusena soovitatakse seadistust session.upload_progress.enabled=0, kuni ilmub järgmine regulaarne veaparandusväljalase.

**Kas PHP2Shelli kohta on kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise)?**  
Ei, seisuga 25.10.2026 ei ole kinnitatud kompromiteerimisnäitajaid avaldatud. Tuvastamine tugineb käitumisanalüüsile, näiteks ebatavalistele protsessidele, uutele failidele ja kahtlastele ühendustele.

## Allikad

- [php.net: turvateated](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Saksamaa föderaalne infoturbeamet](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)