Lyhyesti: Jos verkkokauppanne on hakkeroitu tai toimii korjaamattomalla PHP-versiolla, kyse on kolmesta asiasta yhtä aikaa: asiakastiedoista, kassasta ja myynnistä. Siirtäkää kauppa hallitusti huoltotilaan, varmistakaa lokit 20.10.2026 alkaen ja selvittäkää, kuka päivittää PHP:n palvelimellanne ja käynnistää sen uudelleen.
Mitä verkkokaupassa on pelissä
Verkkokauppa on enemmän kuin verkkosivusto. Se hallinnoi asiakastilejä salasanatiivisteineen, toimitus- ja laskutusosoitteita, tilaushistoriaa, alennuskoodeja ja usein myös rajapintoja toiminnanohjaukseen, kuljetuspalveluihin ja markkinapaikkoihin. Joka pystyy suorittamaan koodia palvelimella, pääsee yleensä käsiksi tietokantaan ja siellä oleviin API-avaimiin.
Korttitiedot eivät yleensä ole teillä vaan maksupalveluntarjoajalla. Se rauhoittaa vain osittain: hyökkääjä voi lisätä tilausprosessiin JavaScriptiä, joka lukee syötteet selaimessa. Tällaiset skimming-komentosarjat jäävät verkkokaupan arjessa lähes huomaamatta, koska tilaukset menevät läpi aivan normaalisti.
Lisäksi ovat rajapinnat. Verkkokauppa, joka välittää tilaukset toiminnanohjaukseen, kuljetuspalveluihin ja markkinapaikoille, tallentaa niiden käyttöavaimet yleensä palvelimen asetustiedostoihin. Joka kopioi ne, voi luoda kauppiaan nimissä lähetystarroja, muuttaa varastosaldoja tai käyttää väärin markkinapaikkatilejä.
Tyypilliset verkkokauppajärjestelmät ja miksi PHP2Shell koskee niitä
Saksalaisen keskisuuren yritysten yleisimmät verkkokauppajärjestelmät toimivat PHP:llä: Shopware 6, WooCommerce, Magento, OXID, PrestaShop ja monet vanhat Shopware 5 -asennukset. PHP2Shell (CVE-2026-109618 ja CVE-2026-109619, kummankin CVSS 9.2) on itse PHP:ssä. Hyökkääjät eivät tarvitse asiakastiliä eivätkä ylläpitäjän tunnuksia.
Kauppiaille tämä tarkoittaa: uusin verkkokaupan päivitys ei suojaa. Ratkaisevaa on, onko palvelimen PHP versiota 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai onko hosting-yritys asentanut backportin, ja onko kaikki PHP-prosessit käynnistetty sen jälkeen uudelleen. Vanhoille verkkokaupoille, jotka toimivat PHP 8.1:llä tai vanhemmalla, PHP-projekti ei enää julkaise virallisia päivityksiä. Silloin hätätilanteen rinnalla edessä on siirtymä, jota ette halua tehdä kiireessä sesonkiaikana.
Verkkokauppa hakkeroitu: mitä tapaus käytännössä tarkoittaa
Vaarantunut verkkokauppa aiheuttaa vahinkoa usealla tasolla, jotka vahvistavat toisiaan:
- Myynti: Jokainen huoltotilassa vietetty tunti maksaa tilauksia. Huomaamatta jatkava verkkokauppa voi kuitenkin tulla selvästi kalliimmaksi.
- Asiakastiedot: Vuotaneita osoitteita ja tilauksia käytetään kohdennettuihin tietojenkalasteluviesteihin, jotka vaikuttavat aidoilta, koska ne mainitsevat todellisia tilauksia.
- Näkyvyys: Jos Google tunnistaa haittakoodin, hakutuloksiin ilmestyy varoitus. Miten siitä pääsee eroon, kerrotaan oppaassa Googlen varoituksen poistaminen.
- Kumppanit: Maksupalveluntarjoajilla ja markkinapaikoilla on omat vaatimuksensa tietoturvapoikkeamille. Joka ilmoittaa liian myöhään, riskeeraa hankaluuksia tilityksissä.
Kuka vastaa: toimisto, hosting-yritys vai kauppias?
Monessa verkkokaupassa PHP:tä koskeva kysymys jää kaikkien väliin. Toimisto on rakentanut kaupan ja ylläpitää lisäosia, hosting-yritys ylläpitää palvelinta, ja kauppias olettaa, että toinen kahdesta huolehtii asiasta. Hallinnoidussa hostingissa korjaukset hoitaa yleensä hosting-yritys, omalla vServerillä ei kukaan automaattisesti.
| Tehtävä | Tyypillisesti vastuussa | Tarkistakaa |
|---|---|---|
| PHP-paketin päivitys | Hosting-yritys tai palvelimen ylläpitäjä | Kirjallinen vahvistus paketin tilasta |
| PHP-prosessien uudelleenkäynnistys | Palvelinta hallinnoiva taho | Uudelleenkäynnistyksen ajankohta |
| Verkkokauppa ja lisäosat | Toimisto | Huoltosopimus ja tunnukset |
| Maksupalveluntarjoajan informointi | Kauppias | Sopimusperusteiset ilmoitusvelvollisuudet |
PHP-korjaus ei todista, ettei aiemmin ole tapahtunut mitään. Jos verkkokauppaan on hyökätty 17.10. ja korjauksen ajankohdan välisenä aikana, lisätty koodi voi jatkaa toimintaansa. Teettäkää tarkistus ennen kuin ilmoitatte tilanteen olevan kunnossa.
Ensimmäiset tunnit: kauppiaan toimintajärjestys
- Asettakaa verkkokauppa huoltotilaan tai, jos se ei onnistu, ottakaa se tilapäisesti pois verkosta.
- Varmistakaa palvelimen, PHP:n ja verkkokaupan lokit 20.10.2026 alkaen, ennen kuin lokien kierrätys poistaa ne.
- Pyytäkää hosting-yritykseltä kirjallinen vahvistus PHP-paketin tilasta ja uudelleenkäynnistyksestä.
- Uusikaa ylläpitäjien salasanat, maksun, toimituksen ja markkinapaikkojen API-avaimet sekä tietokantatunnukset, ja tehkää se vasta puhdistuksen jälkeen.
- Tarkistakaa kassa, maksulisäosat ja sisällytetyt komentosarjat muutosten varalta.
Jos on viitteitä tietovuodosta, GDPR:n 72 tunnin määräaika on käynnissä. Oikeudellisen arvioinnin teette tietosuojavastaavanne ja tarvittaessa lakimiehenne kanssa.
Miten PHP SOS auttaa konkreettisesti?
- Tarkistamme etänä PHP-paketin todellisen tilan, ajotavan (esimerkiksi mod_php tai PHP-FPM) ja sen, onko kaikki worker-prosessit käynnistetty uudelleen.
- Tutkimme verkkokaupan tiedostot, tietokannan ja kassan web shellien, skimming-koodin ja uusien ylläpitäjätilien varalta ja poistamme löydetyn haittaohjelman.
- Sovitamme työn toimistonne ja hosting-yrityksenne kanssa, jotta verkkokaupan huolto ja palvelimen käyttö eivät mene ohi toisistaan.
- Dokumentoimme havainnot ja toimenpiteet niin, että voitte esittää ne maksupalveluntarjoajalle, vakuutusyhtiölle ja tietosuojavastaavalle.
- Sen jälkeen koventamme palvelimen ja otamme halutessanne hoitaaksemme jatkuvan valvonnan.
Usein kysytyt kysymykset
Onko verkkokauppa otettava pois verkosta PHP2Shellin takia?
BSI (Saksan liittovaltion tietoturvavirasto) suosittelee ottamaan verkkopalvelimet tilapäisesti pois verkosta, jos PHP-päivitystä ei voi tehdä heti. Verkkokaupalle huoltotila ja tiedotussivu on usein parempi tapa kuin virheilmoitus. Kun PHP on korjattu ja kaikki prosessit käynnistetty uudelleen, kauppa voidaan avata uudelleen.
Ovatko luottokorttitiedot kaupassani vaarassa?
Useimmissa verkkokaupoissa korttitiedot eivät ole omalla palvelimella vaan maksupalveluntarjoajalla. Vaarallista on kuitenkin kassalle muokattu koodi, joka kaappaa syötteet ennen kuin ne saavuttavat palveluntarjoajan. Siksi kassa kuuluu jokaiseen hyökkäyksen jälkeiseen tarkistukseen.
Riittääkö, että päivitän Shopwaren tai WooCommercen?
Ei. PHP2Shell koskee PHP:tä itseään, ei verkkokauppajärjestelmää. Verkkokaupan päivitys ei sulje haavoittuvuutta, eikä PHP-korjaus poista jo lisättyä haittakoodia.
Keille minun on ilmoitettava tietovuodon jälkeen?
Henkilötietojen osalta ilmoitus tietosuojaviranomaiselle 72 tunnin kuluessa voi tulla kyseeseen, riskistä riippuen myös tieto rekisteröidyille. Lisäksi tulevat sopimusperusteiset velvoitteet maksupalveluntarjoajaa ja vakuutusyhtiötä kohtaan. Yksittäistapauksen arvioinnin teette tietosuojavastaavan ja lakimiehen kanssa.