PHP2Shell (CVE-2026-109618/109619): Lanetin palvelimet on paikattu
Kaksi kriittistä PHP-aukkoa, PHP2Shell, vaarantaa miljoonia verkkosivuja. Mitä tapahtui, mitä se tarkoittaa WordPress-sivustoille ja miksi Lanetin asiakkaat ovat suojassa.
PHP-projekti julkaisi 21.10.2026 kiireelliset korjaukset kahteen kriittiseen tietoturva-aukkoon, CVE-2026-109618 ja CVE-2026-109619. Aukoista käytetään yhteisnimeä "PHP2Shell". PHP:n varassa toimii suurin osa maailman verkkosivuista, myös jokainen WordPress-sivusto ja WooCommerce-verkkokauppa. Hyökkäykset alkoivat jo ennen kuin korjauksia oli edes julkaistu, ja Yhdysvaltain kyberturvallisuusvirasto CISA kehotti asentamaan ne välittömästi. Paikkasimme kaikki Lanetin palvelimet 22.10., alle kaksi vuorokautta korjausten julkaisusta.
Mikä PHP2Shell on?
PHP on ohjelmointikieli, joka rakentaa verkkosivun palvelimella ennen kuin se näkyy selaimessasi. Jos sivusto on tehty WordPressillä, WooCommercella, Drupalilla, Joomlalla tai monella muulla järjestelmällä, se toimii PHP:llä.
PHP2Shell on nimi kahdelle virheelle itse PHP:ssä. Niiden avulla hyökkääjä voi lähettää sivustolle erikseen muotoillun pyynnön ja ajaa omaa koodiaan palvelimella ilman salasanaa tai kirjautumista. Pahimmassa tapauksessa hyökkääjä voi kaapata sivuston, muuttaa sen sisältöä, asentaa sinne haittaohjelmia tai viedä sen tietoja.
Virheet ovat PHP:ssä eivätkä lisäosassa tai teemassa. Siksi WordPressin tai lisäosien päivittäminen ei auta, vaan korjaus on asennettava palvelimelle. Sen tekee palveluntarjoaja.
Kaksi haavoittuvuutta
CVE (Common Vulnerabilities and Exposures) on julkinen tunnus, jonka jokainen tunnettu tietoturva-aukko saa. Sen avulla kaikki puhuvat varmasti samasta aukosta.
| CVE | Mistä on kyse | Vakavuus |
|---|---|---|
| CVE-2026-109618 | Muistinkäsittelyn virhe, jonka voi laukaista erikseen muotoillulla latauspyynnöllä | 9,2 / 10, kriittinen |
| CVE-2026-109619 | Yhden pyynnön tietoja voi jäädä palvelimen muistiin, ja seuraava pyyntö voi käyttää niitä väärin | 9,2 / 10, kriittinen |
Aukot koskevat kaikkia yleisiä tapoja ajaa PHP:tä verkkopalvelimella, myös PHP-FPM:ää, Apachea ja LiteSpeediä.
Vaikutukset maailmalla
- Hyökkäykset alkoivat ennen korjausta. Amazonin tietoturvatiimi havaitsi ensimmäisen hyökkäysyrityksen jo 17.10., neljä päivää ennen kuin aukot julkistettiin.
- Miljoonia hyökkäysyrityksiä tunneissa. Cloudflaren mukaan yrityksiä tuli kymmeniätuhansia 45 minuutissa julkistuksesta, satojatuhansia kahdessa tunnissa ja pian miljoonia. Hyökkääjät muokkaavat yrityksiään jatkuvasti päästäkseen suodattimien ohi.
- Yli miljoona altista palvelinta. Tutkijoiden arvion mukaan internetissä on yli miljoona mahdollisesti haavoittuvaa palvelinta. Noin 880 000 niistä käyttää PHP-versiota, johon ei julkaista virallista korjausta lainkaan.
- Sivustoja on vielä paljon enemmän. Webhotellissa yhdellä palvelimella voi olla satoja sivustoja, joten vaarassa olevia sivustoja on moninkertaisesti.
- "Paikatkaa heti." CISA kehotti asentamaan korjaukset välittömästi ja ottamaan vanhoja PHP-versioita käyttävät järjestelmät pois verkosta, kunnes ne on päivitetty.
Aikajana
- 17.10.2026: Ensimmäinen hyökkäysyritys havaittiin (Amazon).
- 20.10.2026: PHP-projekti ilmoitti tulevasta kriittisestä korjauksesta. Tietoja vuoti verkkoon.
- 21.10.2026: Korjatut versiot 8.2.35, 8.3.36, 8.4.27 ja 8.5.12 julkaistiin. CISA kehotti paikkaamaan heti. Hyökkäysten määrä räjähti.
- 22.10.2026: Kaikki Lanetin palvelimet paikattiin.
Mitä tämä tarkoittaa Lanetin asiakkaille
Sivustosi ja sähköpostisi ovat suojassa. Asensimme korjaukset kaikille Lanetin palvelimille 22.10. Palvelu katkesi myöhään illalla noin minuutiksi palvelinta kohden, eikä mitään kadonnut.
Myös vanhempia PHP-versioita käyttävät sivustot ovat suojassa. PHP-projekti ei enää korjaa PHP 8.1:tä ja sitä vanhempia versioita, ja CISA neuvoo ottamaan tällaiset sivustot pois verkosta. Lanetilla PHP 7.4:ää, 8.0:aa ja 8.1:tä käyttävät sivustot pysyvät verkossa ja suojattuina, koska alustallamme on näihin versioihin jälkikäteen tehdyt tietoturvakorjaukset. Suosittelemme silti siirtymistä ajantasaiseen PHP-versioon. Autamme mielellämme.
Ei tarvitse. Jos sinulla on PHP-sivustoja myös muualla, kysy sen palveluntarjoajalta, onko PHP2Shell-korjaukset asennettu.
Usein kysyttyä
Koskeeko PHP2Shell minun WordPress-sivustoani?
Jokainen WordPress-sivusto toimii PHP:llä, joten jokainen paikkaamattomalla palvelimella oleva sivusto on vaarassa. Lanetin WordPress-webhotellissa korjaus on jo asennettu.
Korjaako WordPressin tai lisäosien päivittäminen PHP2Shellin?
Ei korjaa. Virheet ovat palvelimen PHP:ssä, joten korjauksen voi asentaa vain palveluntarjoaja.
Miten tarkistan PHP-versioni?
Valitse WordPressissä Työkalut, Sivuston terveys, Tietoja, Palvelin. Paikattuja versioita ovat 8.2.35, 8.3.36, 8.4.27 ja 8.5.12 tai uudemmat. Vanhemmat versiot ovat paikattuja vain, jos palveluntarjoaja on asentanut niihin jälkikäteen tehdyt korjaukset, kuten me olemme.
Sivustoni käyttää PHP 7.4:ää tai 8.1:tä. Onko se turvassa?
Lanetilla on. Suosittelemme silti päivittämistä.
Mistä näen, toimivatko Lanetin palvelut normaalisti?
Lue lisää
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching (englanniksi)
- PHP-projektin tiedote (englanniksi)
- Amazon: hyökkäykset ennen julkistusta (englanniksi)
- The Register: Hackers pile on PHP2Shell (englanniksi)
- Tenable: PHP2Shell, usein kysyttyä (englanniksi)
Turvallinen palvelin sivustollesi tai verkkokaupallesi: webhotelli, WordPress, WooCommerce.