# Jagatud veebimajutus: mida teeb majutaja ja mida peate tegema teie

> Veebimajutus ja PHP2Shelli turvaauk: mida teeb majutaja, mida peate ise kontrollima ja kuidas küsida majutajalt paiga seisu kirjalikult.

Allikas: https://phpsos.de/et/server/shared-hosting/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** PHP turvaaugu nagu PHP2Shell puhul vastutab veebimajutuses PHP uuenduse eest majutaja, mitte teie. Teie ülesanne on hankida kirjalik kinnitus, valida klienditeenindusmenüüs toetatud PHP versioon ja kontrollida oma veebisaiti rünnaku jälgede suhtes. Majutaja paik ei eemalda pahavara, mis on varem teie veebisaidile jõudnud.

## Olukord lihtsate sõnadega

PHP on programmeerimiskeel, millega töötab enamik veebisaite, poode ja sisuhaldussüsteeme nagu WordPress. PHP2Shell tähistab kahte kriitilist viga PHP-s endas (CVE-2026-109618 ja CVE-2026-109619). Ründajad saavad nende kaudu ilma paroolita serveris oma koodi käivitada. BSI on kuulutanud välja hoiatustaseme 3 (oranž) ja soovitab kohest uuendust.

Jagatud veebimajutuses jagavad paljud kliendid ühte serverit. Selle all oleva tehnika, see tähendab operatsioonisüsteemi, veebiserveri ja PHP, käitab majutaja. Teie ise haldate ainult oma veebisaiti, andmebaasi ja ligipääse. Seepärast ei saa te PHP uuendust ise paigaldada ega pea seda ka tegema.

## Veebimajutus ja PHP turvaauk: kes vastutab?

Jaotus tuleneb teie lepingust. Enamikus tariifides kehtib ligikaudu järgmine jaotus:

| Ülesanne | Majutaja | Teie kui klient |
|---|---|---|
| PHP pakettide uuendamine | jah | ei |
| PHP protsesside taaskäivitus | jah | ei |
| Serveri tasemel ajutiste väärtuste seadmine | jah | ei |
| Oma veebisaidi PHP versiooni valimine | pakub | valib |
| CMS-i, pistikprogrammide ja teemade uuendamine | ei | jah |
| Ligipääsuandmed ja administraatorikontod | ei | jah |
| Veebisaidi kontroll kahjuliku koodi suhtes | osaliselt | jah |
| Andmekaitseõiguslik hindamine | ei | jah |

Oluline on viimane rida: kui teie veebisaidil juhtub isikuandmetega seotud intsident, vastutate reeglina teie kui haldaja, mitte majutaja. Lisateavet leiate lehelt [IKÜM-i teavitamiskohustus](https://phpsos.de/et/compliance/dsgvo-meldepflicht-72-stunden/).

## Mida peaksite nüüd ise tegema

**1. Hankige kinnitus.** Küsige majutajalt kirjalikult, kas teie paketi PHP versioonid on mõlema CVE vastu kaitstud, millest alates ja kas kõik PHP protsessid on uuesti käivitatud. Valmis näidise leiate lehelt [Veebimajutajalt paikamise seisu küsimine](https://phpsos.de/et/ratgeber/hoster-patch-status-erfragen/). Ärge imestage, kui klienditeenindusmenüüs on endiselt vanem versiooninumber, näiteks 8.2.34: mõned pakkujad tarnivad parandusi backportina, ilma et number muutuks.

**2. Kontrollige PHP versiooni.** Vaadake klienditeenindusmenüüst, millist PHP versiooni teie veebisait kasutab. PHP 8.1 ja vanemad ei saa PHP projektilt enam ametlikke uuendusi. PHP 8.2 toetus lõpeb 31.12.2026. Kas teie CMS talub uuemat versiooni, kontrollige tootja süsteeminõuete järgi, näiteks wordpress.org-is.

**3. Kontrollige veebisaiti.** Jälgige tundmatuid administraatorikontosid, ootamatuid ümbersuunamisi, võõraid faile FTP-ligipääsus ja hoiatusi Google Search Console'is. Tüüpiliste tunnuste loendi leiate lehelt [Kas mind on juba kompromiteeritud?](https://phpsos.de/et/php2shell/bin-ich-gehackt-anzeichen/).

**4. Tehke varukoopia.** Laadige alla värske varukoopia failidest ja andmebaasist ning hoidke seda eraldi. Paluge majutajal lisaks säilitada teie paketi ligipääsulogid alates 20.10.2026.

> **Näpunäide:**
> Pärast majutaja kinnitust vahetage ettevaatuse mõttes paroolid klienditeenindusmenüü, FTP/SFTP, andmebaasi ja CMS-i administraatorite jaoks ning aktiveerige võimaluse korral kaheastmeline autentimine.

## Mida jagatud veebimajutuses ise lahendada ei saa

php.net-i soovitatud ajutised meetmed, näiteks `session.upload_progress.enabled=0`, mõjuvad ainult siis, kui need on seatud serveri seadistuses. Kirje `.user.ini` failis või `ini_set()` kaudu koodis php.net-i järgi ei piisa. Ka mälupiirangud cgroupi tasemel ja PHP protsesside taaskäivitus on majutaja ülesanne.

Kui teie majutaja ei vasta või vastab kõrvale hoidudes, on teil kolm võimalust: järele nõuda ja tähtaeg seada, panna veebisait ajutiselt hooldusrežiimi või minna üle pakkujale, kes annab selge vastuse. BSI soovitab veebiserverid ajutiselt võrgust lahti ühendada, kui uuendus ei ole kohe võimalik.

Kontrollige lisaks, kas teie tariif on veel ajakohane. Paketid, mis on aastaid muutumatult töötanud, asuvad vahel vanematel serveripõlvkondadel koos vanemate PHP versioonidega, mida majutaja hooldab ainult piiratult. Üleminek sama pakkuja ajakohasele tariifile on sageli väikese vaevaga tehtav ja toob kaasa uuemad PHP versioonid. Küsige selle kohta, kui vastus paikamise seisu kohta on rahuldamatu.

## Kui veebisait on juba kahtlane

Majutaja paik sulgeb turvaaugu tuleviku jaoks. See ei eemalda tagauksi, mille ründajad on varem sisse ehitanud, ega tõesta, et varem midagi ei juhtunud. Kui märkate kõrvalekaldeid, ärge kustutage faile valimatult. Kindlustage esmalt seis, et põhjus jääks hiljem jälgitavaks.

## Kuidas PHP SOS konkreetselt aitab?

- Sõnastame koos teiega päringu majutajale ja hindame tema vastust tehniliselt.
- Kontrollime teie veebisaiti veebishellide, võõraste kontode ja manipuleeritud failide suhtes ning puhastame selle leiu korral oma [pahavara eemaldamise](https://phpsos.de/et/leistungen/malware-entfernung/) kaudu.
- Akuutse kahtluse korral võtame üle [häkitud veebisaitide hädaabi](https://phpsos.de/et/leistungen/website-gehackt-notfallhilfe/) koos tõendite kindlustamisega.
- Aitame valida sobiva PHP versiooni ja testime seejärel veebisaiti.


## Korduma kippuvad küsimused

**Kas ma pean majutuse kliendina PHP-d ise uuendama?**  
Reeglina mitte, sest PHP kuulub jagatud veebimajutuses majutaja platvormi juurde. Klienditeenindusmenüüs saab sageli siiski PHP versiooni valida. Kui seal on versioon ilma ametlike uuendusteta, peaksite vahetama või küsima majutajalt, kuidas ta seda kaitseb.

**Minu veebisait on võrgust väljas. Kas mind häkiti?**  
Mitte tingimata. Mõned pakkujad võtsid veebisaidid ennetavalt võrgust maha, et turvaauk sulgeda. Küsige majutajalt põhjust ja laske endale kinnitada, kas teie paketi vastu on märke rünnakust.

**Kas ma saan ajutised meetmed ise .user.ini faili kirjutada?**  
Sätte session.upload_progress.enabled kohta märgib php.net selgesõnaliselt, et .user.ini ja ini_set() ei piisa. Selle sätte peab majutaja seadma serveri seadistuses.

**Mida peaks majutajalt kirjalikult olema?**  
Kinnitus, et teie paketi PHP versioonid on kaitstud turvaaukude CVE-2026-109618 ja CVE-2026-109619 vastu, millest alates see kehtib ja et PHP protsessid on uuesti käivitatud. Hoidke see vastus oma dokumentide juures.

## Allikad

- [php.net: turvateated](https://www.php.net/)
- [php.net: toetatud versioonid](https://www.php.net/supported-versions.php)
- [BSI](https://www.bsi.bund.de/)
- [Google Search Console'i abi](https://support.google.com/webmasters/)