Lyhyesti: Hallinnoidulla palvelimella palveluntarjoaja hoitaa osan tietoturvasta, tyypillisesti käyttöjärjestelmän, PHP-paketit ja vakiopalvelut. Sovellus, lisäosat, pääsyt ja tietosuojaoikeudellinen vastuu jäävät yleensä sinulle. PHP2Shellin jälkeen kannattaa selvittää kirjallisesti molemmat: mitä palveluntarjoaja on tehnyt ja mikä on vielä sinun vastuullasi?
Mitä ”hallinnoitu” tarkoittaa ja mitä ei
Termi ei ole suojattu. Yksi palveluntarjoaja tarkoittaa sillä ehkä vain käyttöjärjestelmäpäivitysten asentamista, toinen hoitaa myös verkkopalvelimen, PHP:n, tietokannan ja varmuuskopiot. Joihinkin tariffeihin kuuluu ympärivuorokautinen valvonta, toisiin vain yhteyshenkilö toimistoaikoina.
Juuri PHP2Shellin kaltaisessa tilanteessa näkyy, kuinka tarkka palvelukuvaus on. Molemmat haavoittuvuudet, CVE-2026-109618 ja CVE-2026-109619, ovat itse PHP:ssä. Sopimuksesta selviää, ylläpitääkö palveluntarjoajasi PHP:tä osana alustaansa vai onko PHP ”sinun ohjelmistosi”. Älä luota oletukseen, että joku kyllä huolehtii asiasta.
Hallinnoidun palvelimen tietoturva: tyypillinen tehtävänjako
Seuraava taulukko esittää yleisen jaon. Se ei korvaa sopimuksen tarkistamista, mutta auttaa esittämään oikeat kysymykset.
| Alue | Yleensä palveluntarjoajalla | Yleensä sinulla |
|---|---|---|
| Laitteisto, verkko, virtualisointi | kyllä | ei |
| Käyttöjärjestelmäpäivitykset | kyllä | ei |
| Alustan PHP-paketit | usein | jos itse asennettu |
| PHP-FPM:n ja verkkopalvelimen uudelleenkäynnistys | usein | omissa palveluissa |
| Palvelinlaajuinen PHP-konfiguraatio | usein | erityistoiveiden osalta |
| CMS, verkkokauppa, lisäosat, oma koodi | ei | kyllä |
| Sovelluksen ylläpitäjätilit | ei | kyllä |
| Varmuuskopiot | usein | palautuksen tarkistus |
| Tietosuojaloukkausten arviointi ja ilmoitus | ei | kyllä |
| Hyökkäysten valvonta | tariffista riippuen | tariffista riippuen |
Epäselvät kentät ovat varsinainen riski. Missä joutuisit kirjoittamaan ”tariffista riippuen” tai ”usein”, sääntö puuttuu.
Mitä kysymyksiä kannattaa nyt esittää
Lähetä palveluntarjoajalle lyhyt, asiallinen kysely. Pyydä vastaus kirjallisessa muodossa, jotta voit esittää sen myöhemmin. Näiden kohtien pitäisi olla mukana:
- Mitä PHP-versioita palvelimellamme pyörii, ja onko ne suojattu haavoittuvuuksilta CVE-2026-109618 ja CVE-2026-109619?
- Mistä lähtien tämä pätee, ja käynnistettiinkö sen jälkeen kaikki PHP-prosessit ja verkkopalvelin uudelleen?
- Asennettiinko korjaus backport-korjauksena? Jos kyllä, mikä pakettiversio sen todistaa?
- Onko ollut viitteitä hyökkäysyrityksistä tai poikkeavista prosesseista palvelimellamme?
- Säilytetäänkö verkkopalvelimen lokit 20.10.2026 alkaen, ja miten saamme ne?
Valmis pohja on sivulla Kysy hosting-yritykseltä korjauksen tila. Asiakasvalikon versionumero ei ole todiste: backport-korjausten kohdalla se pysyy usein ennallaan, esimerkiksi 8.2.34:ssä.
Vaikka palveluntarjoaja olisi korjannut PHP:n, sovelluksesi on silti tarkistettava. Korjaus ei poista haittaohjelmaa, joka asennettiin ennen päivitystä, eikä todista, ettei mitään ole tapahtunut.
Mikä jää sinulle
Sinun osuutesi koskee ennen kaikkea sovellusta. Tarkista CMS:n, verkkokaupan ja lisäosien ajantasaisuus, poista käyttämättömät laajennukset ja tarkista ylläpitäjien luettelo. Kiinnitä huomiota uusiin tiedostoihin latauskansioissa, vieraisiin uudelleenohjauksiin ja epätavallisiin ajastettuihin tehtäviin sovelluksessa.
Mukaan tulee oikeudellinen puoli. Jos poikkeamassa henkilötietoja joutuu vääriin käsiin, ilmoitusvelvollinen on yleensä yrityksesi rekisterinpitäjänä, ei palveluntarjoaja. Sen on henkilötietojen käsittelijänä ilmoitettava sinulle viipymättä. Perusteet selittää GDPR-ilmoitusvelvollisuus: 72 tuntia. Tämä on yleistä tietoa, ei oikeudellista neuvontaa; yksittäistapauksen arvioivat tietosuojavastaavat tai juristit.
Yksi asia unohtuu usein: ohjelmisto, jonka sinä tai toimistosi on itse asentanut hallinnoidulle palvelimelle, esimerkiksi ylimääräinen PHP-versio ulkopuolisesta lähteestä, kontti tai apuohjelma, ei yleensä kuulu palveluntarjoajan ylläpitoon. Kysy siksi myös, onko palveluntarjoaja tietoinen siitä, mitä vakiovarustuksen rinnalla pyörii. Ja selvitä, kuka tekee tutkinnan epäilytapauksessa. Monet palveluntarjoajat palauttavat alustan, mutta eivät tutki, onko tietoja vaarantunut ja mitä. Juuri tämä vastaus tarvitaan kuitenkin mahdollisten ilmoitusvelvollisuuksien arviointiin.
Parannetaan sopimuksia tulevaisuutta varten
Käytä tilannetta tehtävänjaon kirjaamiseen. Järkeviä ovat säännöt tietoturvapäivityksistä uudelleenkäynnistyksineen, tiedottamisesta kriittisistä haavoittuvuuksista, lokien säilyttämisestä ja luovuttamisesta sekä tuesta poikkeamissa. Kysy myös, ilmoittaako palveluntarjoaja sinulle aktiivisesti vai pitääkö sinun itse kysyä.
Oma palvelin ilman ylläpitoa on vaihtoehto, mutta siirtää koko työn sinulle. Mitä se tarkoittaa, kuvaa sivu Root-palvelimen ja vServerin suojaus itse.
Miten PHP SOS auttaa konkreettisesti?
- Luemme palvelukuvauksenne ja laadimme tehtävämatriisin, joka tekee aukot näkyviksi.
- Muotoilemme tekniset kysymykset palveluntarjoajallenne ja arvioimme sen vastaukset.
- Tarkistamme sovellusosan, joka on teidän vastuullanne, jälkien ja vanhentuneiden komponenttien varalta.
- Mitä palveluntarjoaja ei kata, sen otamme halutessanne hoitaaksemme tietoturvahuoltosopimuksella tai täydennämme tietoturvavalvonnalla.
Usein kysytyt kysymykset
Onko hallinnoidulla palvelimella automaattisesti kaikki suojattu?
Ei. Hallinnoitu tarkoittaa, että palveluntarjoaja hoitaa tietyt sopimuksessa määritellyt tehtävät, yleensä käyttöjärjestelmän ja vakiopalvelut. Sovellus, lisäosat, pääsyt ja oma ohjelmisto jäävät usein sinulle.
Mistä näen, mistä palveluntarjoajani vastaa?
Palvelukuvauksesta ja sopimusehdoista, usein myös tehtävänjakoa koskevasta asiakirjasta. Henkilötietojen osalta mukaan tulee henkilötietojen käsittelyä koskeva sopimus. Jos tietoturvapäivityksille ei ole selkeää sääntöä, kysy kirjallisesti.
Pitääkö minun hallinnoidusta palvelimesta huolimatta tehdä jotain PHP2Shellin vuoksi?
Kyllä. Hanki vahvistus siitä, että kaikki PHP-versiot on korjattu ja prosessit käynnistetty uudelleen. Tarkista lisäksi sovelluksesi jälkien varalta ja selvitä, onko ilmoitusvelvollisuutta.
Kuka ilmoittaa tietosuojaloukkauksesta, jos hosting-yritys oli osallisena?
Valvontaviranomaiselle ilmoittamaan on yleensä velvollinen rekisterinpitäjä eli yrityksesi. Hosting-yrityksen on henkilötietojen käsittelijänä ilmoitettava sinulle viipymättä. Pyydä tietosuojavastaavaasi arvioimaan yksittäistapaus.