Lyhyesti: Keskisuurten yritysten kyberturva PHP2Shellin kohdalla kaatuu harvoin korjaamiseen vaan kokonaiskuvan puutteeseen. Verkkosivun rinnalla toimii jälleenmyyjäportaaleja, konfiguraattoreja, urasivuja ja sisäisiä wikejä eri palveluntarjoajilla. Vasta täydellinen lista tekee riskistä hallittavan ja asiakkaille ja valvonnalle todennettavan.
Tyypilliset PHP-järjestelmät keskisuurissa yrityksissä
Vuosien mittaan tuotantoyrityksiin kertyy monia verkkopohjaisia sovelluksia: B2B-verkkokauppoja varaosille, jälleenmyyjä- ja kumppaniportaaleja hinnastoineen, tuotekonfiguraattoreja, latausalueita teknistä dokumentaatiota ja CAD-tiedostoja varten, reklamaatio- ja huoltoportaaleja sekä urasivuja hakijahallinnolla. Sisäisesti mukaan tulevat wikit kuten MediaWiki, tikettityökalut ja verkkoanalytiikka.
Suuri osa niistä toimii PHP:llä. Järjestelmät on usein tilannut jokin osasto, rakentanut toimisto ja ne toimivat hosting-yrityksillä, joita keskitetty IT ei tunne. Juuri siinä on PHP2Shellin kaltaisen haavoittuvuuden kohdalla varsinainen ongelma.
Mitä tietoja ja yhteyksiä voi vaarantua
Portaaleissa on asiakasehtoja, jälleenmyyjien yhteyshenkilöitä, tarjous- ja tilaustietoja sekä piirustuksia, jotka ovat salassapitosopimusten alaisia. Rekrytointiportaalit sisältävät ansioluetteloita ja todistuksia. Kilpailijoille ja kiristäjille suunnittelutiedot ja hintarakenteet ovat usein arvokkaampia kuin henkilötiedot.
Kriittisiä ovat yhteydet: monet portaalit vaihtavat tietoja ERP-, toiminnanohjaus- tai PIM-järjestelmien kanssa. Joka suorittaa koodia tällaisella verkkopalvelimella, löytää sieltä rajapintojen, tietokantojen tai VPN:n tunnuksia. Vaarantunut portaali voi näin muodostua sisäänkäynniksi yrityksen verkkoon.
Keskisuuri yritys ja kyberturva: toimitusketju ja NIS2
NIS2 tuo monille yrityksille laajennettuja velvoitteita riskienhallintaan ja merkittävien tietoturvapoikkeamien ilmoittamiseen. Koskeeko se suoraan yritystänne, riippuu toimialasta ja koosta. Välillisesti se koskee monia muita, koska asiakkaat välittävät tietoturvavaatimuksia sopimuksilla toimittajilleen.
Johdolle tulee lisäksi kysymys omasta vastuusta. Mitä siitä yleisesti pätee, selitetään sivulla Johdon vastuu. Yksittäistapauksen arvio kuuluu oikeudelliselle neuvonnallenne.
Palo Alto Networks (Unit 42) laski yli 22,6 miljoonaa avointa, mahdollisesti haavoittuvaa instanssia. Toimiston unohtunut testijärjestelmä näkyy automaattisille skannauksille aivan kuten pääsivustonne.
Tyypillinen vastuuaukko keskisuurissa yrityksissä
| Alue | Kuka usein päättää | Mikä puuttuu |
|---|---|---|
| Yrityksen verkkosivusto | Markkinointi ja toimisto | Todiste PHP:n korjauksesta |
| Jälleenmyyjäportaali, B2B-verkkokauppa | Myynti ja palveluntarjoaja | Liittäminen IT-turvallisuuskonseptiin |
| Urasivu | Henkilöstö ja palveluntarjoaja | Selkeys hostingista ja tiedoista |
| Sisäiset työkalut | Yksittäiset osastot | Inventaario ja vastuuhenkilöt |
Keskitetty IT vastaa verkosta, työasemista ja ERP:stä, mutta sillä ei useinkaan ole pääsyä ulkoisesti isännöityihin järjestelmiin. Tästä mallista tulee pullonkaula jokaisen kriittisen haavoittuvuuden kohdalla. Apua tuo yksinkertainen sääntö: jokainen yritystietoja käsittelevä verkkosovellus ilmoitetaan ylläpitäjineen ja yhteyshenkilöineen IT:lle, ennen kuin se julkaistaan.
Verkkopalvelin ja tuotantoverkko siististi erilleen
Teollisuudessa mukaan tulevat verkkosovellukset, jotka keskustelevat koneiden ja laitteistojen kanssa: huolto- ja etähuoltoportaalit, koneiden tietoja näyttävät kojelaudat, portaalit asiakkaille, jotka seuraavat toimitettujen laitteistojensa tilaa. Osa niistä on rakennettu PHP:llä ja sijaitsee verkkoalueella, jolla on enemmän yhteyksiä kuin tehtävä edellyttäisi.
Vaarantunut verkkopalvelin ei saa olla ponnahduslauta tuotantoon. Tarkistakaa, mitä yhteyksiä verkkopalvelinten verkkoalueilta on toimisto- ja tuotantoverkkoihin, ja rajoittakaa ne välttämättömään. Verkkopalvelimille tallennetuilla tunnuksilla tulisi olla vain ne oikeudet, joita sovellus todella tarvitsee. Etähuoltoyhteyksien kohdalla tämä pätee erityisesti.
Ensimmäiset tunnit IT-johdolle ja toimitusjohtajalle
- Laatikaa inventaario kaikista ulkoa tavoitettavissa olevista PHP-järjestelmistä: verkkotunnus, ylläpitäjä, PHP-versio, ajotapa, yhteyshenkilö.
- Käsitelkää ensin mod_php:tä käyttävät järjestelmät ja ne, jotka toimivat PHP 8.1:llä tai vanhemmalla. mod_php:n kohdalla PHP-tiimi arvioi riskin suurimmaksi.
- Pyytäkää jokaisen järjestelmän osalta kirjallinen vahvistus korjauksesta versioon 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai backportista ja uudelleenkäynnistyksestä. Mitä ei voi vahvistaa, ottakaa tilapäisesti pois verkosta.
- Varmistakaa lokit 20.10.2026 alkaen ja tarkistakaa verkkopalvelinten yhteydet sisäiseen verkkoon.
- Dokumentoikaa tilanne tiiviisti, jotta voitte vastata asiakkaille, vakuutusyhtiölle ja tarvittaessa viranomaisille todennettavasti.
Miten PHP SOS auttaa konkreettisesti?
- Laadimme yhdessä IT:n ja osastojen kanssa PHP-järjestelmien inventaarion ja priorisoimme riskin mukaan.
- Koordinoimme korjaukset ja uudelleenkäynnistykset toimistojen ja hosting-yritysten kanssa ja kokoamme todisteet yhteen paikkaan.
- Epäilyn herätessä hoidamme jäsennellyn incident responsen jälkien varmistuksineen ja yrityksen verkkoon johtavien yhteyksien tarkistuksineen.
- Sen jälkeen tarjoamme erikoistuneiden kumppaneiden tekemän tietoturva-auditoinnin tai tunkeutumistestin, jonka tuloksen voitte esittää asiakkaille.
- Halutessanne valvomme järjestelmiä jatkuvasti, jotta inventaario pysyy ajan tasalla.
Usein kysytyt kysymykset
Kuuluuko yrityksemme NIS2:n piiriin?
Se riippuu toimialasta, yrityskoosta ja liikevaihdosta, ja se on tarkistettava yksittäistapauksessa. Myös se, joka ei suoraan kuulu NIS2:n piiriin, kokee vaatimukset usein toimitusketjussa asiakkaiden kautta. Sitovan luokituksen selvitätte oikeudellisen neuvonnan kanssa.
Voiko hakkeroitu verkkopalvelin johtaa yrityksen verkkoon?
Se on mahdollista, jos verkkopalvelimella on yhteyksiä sisäiseen verkkoon, esimerkiksi rajapintoja ERP-järjestelmään, yhteisiä tunnuksia tai VPN-tunneli. Onko näin teillä, selviää verkkoyhteyksien ja tallennettujen tunnusten tarkistuksesta.
Miten löydämme kaikki yrityksen PHP-sovellukset?
Lähtökohtana ovat DNS-merkinnät, varmenteet, hosting-laskut ja toimistojen sopimukset. Lisäksi auttavat kyselyt markkinoinnissa, myynnissä, asiakaspalvelussa ja henkilöstöhallinnossa. Yleensä silloin löytyy järjestelmiä, joista IT-osasto ei edes tiennyt.
Mitä asiakkaat odottavat meiltä toimittajana PHP2Shellin jälkeen?
Jotkin asiakkaat kysyvät aktiivisesti, olivatko heidän toimittajansa kohteena ja miten he reagoivat. Hyödyllistä on tiivis, todennettavissa oleva esitys: mitkä järjestelmät, mikä korjaustila, milloin käynnistetty uudelleen ja mitä tarkistuksia vaarantumisen varalta on tehty. Sen lupaaminen, mitä ei voi todentaa, vahingoittaa.