Lyhyesti: Viikko ensimmäisen havaitun hyökkäysyrityksen jälkeen PHP2Shell on ajankohtaisesti ennen kaikkea toteutuksen kysymys: PHP 8.2–8.5:n päivitykset ovat olleet saatavilla 21. lokakuusta, suuret jakelut ovat seuranneet perässä ja BSI (Saksan liittovaltion tietoturvavirasto) varoittaa oranssilla tasolla. Hyökkäysyrityksiä on havaittu, vahvistettuja onnistuneita hyökkäyksiä laajasti BSI ei aluksi ilmoittanut. Avoimeksi jäävät vanhat versiot, uudelleenkäynnistämättömät palvelimet ja kysymys siitä, mitä tapahtui ennen päivitystä.
Tilanne kolmessa lauseessa
PHP2Shell on kaksi kriittistä aukkoa itse PHP-tulkissa, CVE-2026-109618 ja CVE-2026-109619, kumpikin arvosanalla CVSS v4.0 9,2. Ne sallivat koodin suorittamisen etänä ilman kirjautumista eli tapauksen, jota tietoturva-alan ihmiset pelkäävät eniten. Alttiita ovat PHP-FPM, Apache mod_php:lla, php-cgi, FrankenPHP ja LiteSpeed; suurimman riskin PHP-tiimi näkee mod_php:ssa.
Tämä yleiskatsaus järjestää tilanteen 25. lokakuuta 2026 toimijoittain. Tapahtumien kulun päivä päivältä löydätte PHP2Shell-kronologiasta, tässä keskitytään kokonaiskuvaan.
Mikä on todennettu viikon jälkeen
Varmoja ovat PHP-projektin tiedot: 21. lokakuuta julkaistut versiot 8.5.12, 8.4.27, 8.3.36 ja 8.2.35 sulkevat molemmat aukot. Versioille PHP 7.4, 8.0 ja 8.1 on vain minimaaliset lähdekoodin backportit, ei virallisia julkaisuja. php.net korostaa, ettei täydellisiä väliaikaistoimia ole ja että päivitys on ainoa turvallinen tie.
- lokakuuta tuli lisäksi ilmoitus CVE-2026-115560:sta. Se koskee vain epätavallista session-konfiguraatiota; korjaavaksi toimeksi php.net mainitsee
session.upload_progress.enabled=0seuraavaan säännölliseen bugikorjausjulkaisuun asti.
Myös suuret jakelut ovat ottaneet kantaa. Olemme tarkistaneet viralliset ilmoitukset:
| Toimittaja | Tila virallisen ilmoituksen mukaan |
|---|---|
| Ubuntu | USN-8948-1 versioille 22.04, 24.04, 26.04 ja 26.10; USN-8948-2 versioille 14.04–20.04 Ubuntu Pron kautta |
| Debian | Korjatut paketit versioille bookworm (php8.2, DLA-4848-1) ja trixie (php8.4, DSA-6574-1) |
| Red Hat | Tiedote RHSB-2026-013 versioille RHEL 7–10; osa päivityksistä saatavilla, lisää työn alla |
Red Hat luokittelee CVE-2026-109618:n omalla arvosanallaan tasolle ”Important” ja perustelee sen korkeammalla hyökkäyksen monimutkaisuudella. Se on eri arviointimenetelmä kuin PHP-projektilla eikä syy lykätä päivitystä.
Miten viranomaiset arvioivat tilannetta
BSI on julistanut varoitustason 3 / oranssi. Se suosittelee välitöntä päivitystä ja, jos se ei onnistu heti, alttiiden verkkopalvelinten väliaikaista ottamista pois verkosta. BSI odotti nopeaa laajamittaista hyväksikäyttöä. Mitä luokitus tarkoittaa, selittää sivu Mitä BSI suosittelee PHP2Shellistä.
Raporttien mukaan CERT-EU pitää mahdollisena, että versiot PHP 5:stä alkaen ovat alttiita, ja neuvoo eristämään julkisesti tavoitettavat sovellukset, jos niitä ei voi päivittää ajoissa. Myös CERT-Bund (Saksan valtion CERT) ja tietoturvayritys Huntress ovat varoittaneet.
Suositus sulkea tarvittaessa pantiin näkyvästi täytäntöön. Mediaraporttien mukaan Mainzin kaupunki otti keskeisen verkkoportaalinsa varotoimena pois verkosta; virastot pysyivät tavoitettavissa puhelimitse ja sähköpostilla. Hessenissä olivat hessenschaun mukaan osavaltion hallituksen, BKA:n (Saksan liittovaltion rikospoliisi) sekä Kasselin ja Wiesbadenin kaupunkien sivut tilapäisesti pois käytöstä. Osavaltion kanslia ei ilmoittanut hyökkäyksestä, ja sivut olivat illalla jälleen tavoitettavissa. Raporttien mukaan muut kunnat, korkeakoulut ja sairaalat toimivat samoin.
Mitä hyökkäyksistä tiedetään
Tässä erottelu havainnon ja vahvistuksen välillä on erityisen tärkeä.
- Havaittu: Mediaraporttien mukaan 17. lokakuuta tehtiin ensimmäinen hyökkäysyritys, jonka Amazon havaitsi. Cloudflare ja Patchstack raportoivat hyökkäysyrityksistä; Cloudflare havaitsi lisäksi muuttuneita hyökkäyskuvioita.
- Toistettu: watchTowr on raporttien mukaan omien tietojensa mukaan toistanut CVE-2026-109618:n.
- Vahvistamaton: BSI ei aluksi ilmoittanut vahvistettuja onnistuneita hyväksikäyttöjä laajasti. Huntress ei ilmoituksensa hetkellä havainnut hyökkäyksiä kumppaniympäristöissä.
- Tuntematon: Julkaistuja, vahvistettuja Indicators of Compromise -tunnisteita ei ole. Joka haluaa tarkistaa, onko palvelin alttiina, joutuu seuraamaan toimintakuvioita.
Laajuudesta kiertää kaksi lukua. Palo Alto Networksin Unit 42:n tutkijat päätyivät yli 22,6 miljoonaan mahdollisesti haavoittuvaan, verkosta tavoitettavaan instanssiin. CybelAngel mainitsee noin 2,24 miljoonaa tavoitettavaa PHP-isäntää, joista oman arvionsa mukaan 59 prosenttia on versioilla ilman tulevaa virallista korjausta. Molemmat mittaavat eri asioita eivätkä ole suoraan vertailukelpoisia. Arvion tarjoaa artikkeli Lukujen oikea tulkinta.
Mikä on avoinna
Kolme kysymystä määrää seuraavat viikot:
- Vanhat versiot: Suuri osa tavoitettavista PHP-asennuksista toimii mainittujen arvioiden mukaan haaroilla ilman virallista korjausta. Kattavatko kaupalliset pitkän tuen tarjoukset PHP2Shellin, on vahvistettava kirjallisesti kultakin palveluntarjoajalta.
- Epätäydelliset päivitykset: Uudet paketit vaikuttavat vasta, kun kaikki PHP-prosessit on käynnistetty uudelleen. Red Hat huomauttaa nimenomaisesti, ettei pelkkä uudelleenlataus riitä.
- Aika ennen päivitystä: 17. ja 21. lokakuuta välisenä aikana palvelimet olivat haavoittuvia samalla kun hyökkäysyrityksiä oli jo käynnissä. Päivitys ei todista, ettei tänä aikana tapahtunut mitään.
Säilyttäkää verkkopalvelimen ja PHP:n lokit 20. lokakuuta alkaen, kuten ammattilehdistö suosittelee. Ilman lokeja palvelimenne tärkeimpään avoimeen kysymykseen ei voi myöhemmin vastata.
Mitä ylläpitäjien kannattaa nyt tarkistaa
Oman tilanne-arvion tekemiseen riittää neljä tarkistuskohtaa palvelinta kohti: Onko PHP korjatussa tilassa tai vahvistetulla backportilla? Ovatko kaikki prosessit toimineet päivityksen jälkeen? Onko session.upload_progress.enabled poistettu käytöstä palvelinpuolella niin kauan kuin CVE-2026-115560:n ilmoitus on tulossa? Onko poikkeamia 17. lokakuuta alkaen?
Viimeiseen kohtaan auttaa sivu Olenko jo vaarantunut?. Verkkopalvelimen prosessi, joka käynnistää shellin, uudet PHP-tiedostot upload-kansioissa, tuntemattomat cron-työt tai SSH-avaimet ovat varoitusmerkkejä, jotka oikeuttavat tarkempaan tutkimukseen.
Miten PHP SOS auttaa konkreettisesti?
- Arvioimme jokaisen palvelimen korjaustilan pakettitilan, muutoslokin ja prosessien käynnistysaikojen perusteella.
- Missä päivitystä ei ole saatavilla, otamme käyttöön php.netin väliaikaistoimet ja selvitämme tien tuettuun versioon.
- Tallennamme lokit 20. lokakuuta alkaen ja etsimme jälkiä ajalta ennen päivitystä.
- PHP2Shell-pikaavulla kokoamme nämä vaiheet yrityksille, jotka tarvitsevat nopeasti selvyyttä.
Usein kysytyt kysymykset
Hyödynnetäänkö PHP2Shelliä jo aktiivisesti?
Cloudflare ja Patchstack raportoivat hyökkäysyrityksistä. Vahvistettuja onnistuneita hyökkäyksiä laajasti BSI ei aluksi ilmoittanut. Huntress ei ilmoituksensa hetkellä havainnut hyökkäyksiä kumppaniympäristöissä.
Onko vaara ohi päivitysten jälkeen?
Ei. Päivitykset suojaavat vain palvelimia, jotka ovat asentaneet ne ja käynnistäneet kaikki PHP-prosessit uudelleen. PHP 8.1:n ja vanhempien järjestelmät pysyvät haavoittuvina ilman vahvistettua backportia, eikä päivitys poista aiemmin sisään tuotua haittaohjelmaa.
Miksi viranomaisten verkkosivustot olivat pois käytöstä?
Mediaraporttien mukaan muun muassa Mainzin kaupunki ja useat tahot Hessenissä sulkivat verkkosivustonsa varotoimena. Se vastaa BSI:n suositusta palvelimille, joita ei voi päivittää heti. Sulkeminen ei tarkoita, että hyökkäys olisi tapahtunut.
Onko PHP2Shell-hyökkäykselle tunnusmerkkejä?
Julkaistuja, vahvistettuja Indicators of Compromise -tunnisteita ei toistaiseksi ole. Havaitseminen perustuu käyttäytymisanalyysiin, esimerkiksi PHP-prosesseihin, jotka käynnistävät shellin, tai uusiin PHP-tiedostoihin upload-kansioissa.