# Jaettu hosting: mitä hosting-yritys tekee ja mitä sinun on tehtävä

> Verkkohosting ja PHP2Shell-haavoittuvuus: mitä hosting-yritys hoitaa, mitä tarkistat itse ja miten kysyt korjauksen tilan kirjallisesti.

Lähde: https://phpsos.de/fi/server/shared-hosting/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** PHP-haavoittuvuuden, kuten PHP2Shellin, kohdalla jaetussa verkkohostingissa PHP-päivityksestä vastaa hosting-yritys, ei sinä. Sinun tehtäväsi on hankkia kirjallinen vahvistus, valita asiakasvalikosta tuettu PHP-versio ja tarkistaa verkkosivustosi hyökkäyksen jälkien varalta. Hosting-yrityksen tekemä korjaus ei poista haittaohjelmaa, joka on ehtinyt aiemmin verkkosivustollesi.

## Tilanne yksinkertaisesti

PHP on ohjelmointikieli, jolla useimmat verkkosivustot, verkkokaupat ja sisällönhallintajärjestelmät, kuten WordPress, toimivat. PHP2Shell tarkoittaa kahta kriittistä virhettä itse PHP:ssä (CVE-2026-109618 ja CVE-2026-109619). Niiden kautta hyökkääjät voivat suorittaa palvelimella omaa koodiaan ilman salasanaa. BSI (Saksan liittovaltion tietoturvavirasto) on julistanut varoitustason 3 (oranssi) ja suosittelee välitöntä päivitystä.

Jaetussa hostingissa monet asiakkaat jakavat saman palvelimen. Alla olevan tekniikan, eli käyttöjärjestelmän, verkkopalvelimen ja PHP:n, ylläpitää hosting-yritys. Sinä hallinnoit vain verkkosivustoasi, tietokantaasi ja pääsyjäsi. Siksi et voi asentaa PHP-päivitystä itse etkä sinun tarvitsekaan.

## Verkkohosting ja PHP-haavoittuvuus: kuka vastaa?

Jako riippuu sopimuksestasi. Useimmissa tariffeissa jako on karkeasti seuraava:

| Tehtävä | Hosting-yritys | Sinä asiakkaana |
|---|---|---|
| PHP-pakettien päivitys | kyllä | ei |
| PHP-prosessien uudelleenkäynnistys | kyllä | ei |
| Palvelinlaajuisten väliaikaisten arvojen asettaminen | kyllä | ei |
| Verkkosivustosi PHP-version valinta | tarjoaa | valitsee |
| CMS:n, lisäosien ja teemojen päivitys | ei | kyllä |
| Tunnukset ja ylläpitäjätilit | ei | kyllä |
| Verkkosivuston tarkistus haittakoodin varalta | osittain | kyllä |
| Tietosuojaoikeudellinen arviointi | ei | kyllä |

Tärkeintä on viimeinen rivi: jos verkkosivustollasi tapahtuu henkilötietoja koskeva poikkeama, vastuussa on yleensä sinä ylläpitäjänä, ei hosting-yritys. Lisää aiheesta sivulla [GDPR-ilmoitusvelvollisuus](https://phpsos.de/fi/compliance/dsgvo-meldepflicht-72-stunden/).

## Mitä sinun kannattaa tehdä nyt itse

**1. Hanki vahvistus.** Kysy hosting-yritykseltäsi kirjallisesti, onko pakettisi PHP-versiot suojattu molemmilta CVE-haavoittuvuuksilta, mistä lähtien ja onko kaikki PHP-prosessit käynnistetty uudelleen. Valmiin pohjan löydät sivulta [Kysy hosting-yritykseltä korjauksen tila](https://phpsos.de/fi/ratgeber/hoster-patch-status-erfragen/). Älä hämmenny, jos asiakasvalikossa lukee yhä vanhempi versionumero, kuten 8.2.34: jotkut palveluntarjoajat toimittavat korjaukset backport-korjauksina, jolloin numero ei muutu.

**2. Tarkista PHP-versio.** Katso asiakasvalikosta, mitä PHP-versiota verkkosivustosi käyttää. PHP 8.1 ja vanhemmat eivät saa PHP-projektilta enää virallisia päivityksiä. PHP 8.2:n tuki päättyy 31.12.2026. Sen, sietääkö CMS:si uudemman version, tarkistat valmistajan järjestelmävaatimuksista, esimerkiksi osoitteessa wordpress.org.

**3. Tarkasta verkkosivusto.** Kiinnitä huomiota tuntemattomiin ylläpitäjätileihin, odottamattomiin uudelleenohjauksiin, vieraisiin tiedostoihin FTP-pääsyssä ja Google Search Consolen varoituksiin. Tyypillisten merkkien luettelo on sivulla [Onko järjestelmäni jo murrettu?](https://phpsos.de/fi/php2shell/bin-ich-gehackt-anzeichen/).

**4. Tee varmuuskopio.** Lataa ajantasainen varmuuskopio tiedostoista ja tietokannasta ja säilytä se erillään. Pyydä lisäksi hosting-yritystä säilyttämään pakettisi käyttölokit 20.10.2026 alkaen.

> **Vinkki:**
> Vaihda hosting-yrityksen vahvistuksen jälkeen varotoimena asiakasvalikon, FTP/SFTP:n, tietokannan ja CMS-ylläpitäjien salasanat ja ota mahdollisuuksien mukaan käyttöön kaksivaiheinen tunnistautuminen.

## Mitä et voi ratkaista jaetussa hostingissa itse

Php.net:n suosittelemat väliaikaiset toimenpiteet, esimerkiksi `session.upload_progress.enabled=0`, toimivat vain, jos ne asetetaan palvelinkonfiguraatiossa. Merkintä `.user.ini`-tiedostossa tai `ini_set()`-kutsulla koodissa ei php.net:n mukaan riitä. Myös cgroup-tason muistirajat ja PHP-prosessien uudelleenkäynnistys ovat hosting-yrityksen vastuulla.

Jos hosting-yrityksesi ei vastaa tai vastaa väistellen, sinulla on kolme vaihtoehtoa: tiukentaa kyselyä ja asettaa määräaika, ottaa verkkosivusto tilapäisesti huoltotilaan tai vaihtaa palveluntarjoajaan, joka antaa selkeän vastauksen. BSI suosittelee, että verkkopalvelimet otetaan tilapäisesti pois verkosta, jos päivitystä ei voi tehdä heti.

Tarkista myös, onko tariffisi ajanmukainen. Paketit, jotka ovat toimineet muuttumattomina monta vuotta, sijaitsevat toisinaan vanhemmilla palvelinsukupolvilla ja vanhemmilla PHP-versioilla, joita hosting-yritys ylläpitää enää rajoitetusti. Siirtyminen saman palveluntarjoajan ajantasaiseen tariffiin vaatii usein vähän vaivaa ja tuo mukanaan uudempia PHP-versioita. Kysy siitä, jos vastaus korjauksen tilaan on epätyydyttävä.

## Jos verkkosivusto on jo poikkeava

Hosting-yrityksen tekemä korjaus sulkee haavoittuvuuden tulevaisuudessa. Se ei kuitenkaan poista takaovea, jonka hyökkääjät ovat rakentaneet aiemmin, eikä todista, ettei mitään ole tapahtunut. Jos löydät poikkeavaa, älä poista tiedostoja umpimähkään. Tallenna ensin tila, jotta syy säilyy myöhemmin jäljitettävänä.

## Miten PHP SOS auttaa konkreettisesti?

- Muotoilemme kanssanne kyselyn hosting-yritykselle ja arvioimme sen vastauksen teknisesti.
- Tarkistamme verkkosivustonne web shellien, vieraiden tilien ja manipuloitujen tiedostojen varalta ja puhdistamme sen löydön tapauksessa [haittaohjelman poistomme](https://phpsos.de/fi/leistungen/malware-entfernung/) kautta.
- Akuutin epäilyn tapauksessa hoidamme [murretun verkkosivuston hätäavun](https://phpsos.de/fi/leistungen/website-gehackt-notfallhilfe/) todisteiden turvaamisineen.
- Autamme valitsemaan sopivan PHP-version ja testaamme verkkosivuston sen jälkeen.


## Usein kysytyt kysymykset

**Pitääkö minun hosting-asiakkaana päivittää PHP itse?**  
Yleensä ei, koska PHP kuuluu jaetussa hostingissa hosting-yrityksen alustaan. Asiakasvalikossa voi kuitenkin usein valita PHP-version. Jos siellä on versio ilman virallisia päivityksiä, kannattaa vaihtaa tai kysyä hosting-yritykseltä, miten se on suojattu.

**Verkkosivustoni on pois päältä. Onko minut murrettu?**  
Ei välttämättä. Jotkut palveluntarjoajat ovat ottaneet verkkosivustoja varotoimena pois verkosta haavoittuvuuden sulkemiseksi. Kysy hosting-yritykseltä syytä ja pyydä vahvistus siitä, onko pakettiisi kohdistuneesta hyökkäyksestä viitteitä.

**Voinko asettaa väliaikaiset toimenpiteet itse .user.ini-tiedostossa?**  
Asetuksesta session.upload_progress.enabled php.net kertoo nimenomaisesti, etteivät .user.ini ja ini_set() riitä. Tämän asetuksen on tehtävä hosting-yrityksen palvelinkonfiguraatiossa.

**Mitä minulla tulisi olla hosting-yritykseltä kirjallisena?**  
Vahvistus siitä, että pakettisi PHP-versiot on suojattu haavoittuvuuksilta CVE-2026-109618 ja CVE-2026-109619, mistä alkaen tämä pätee ja että PHP-prosessit on käynnistetty uudelleen. Säilytä vastaus muiden asiakirjojesi mukana.

## Lähteet

- [php.net: tietoturvatiedotteet](https://www.php.net/)
- [php.net: tuetut versiot](https://www.php.net/supported-versions.php)
- [BSI (Saksan liittovaltion tietoturvavirasto)](https://www.bsi.bund.de/)
- [Google Search Consolen ohje](https://support.google.com/webmasters/)