PHP2Shell: Näin Evermade varautui ja toimi PHP:n historiallisen kriittisen haavoittuvuuden kanssa

PHP-ohjelmointikielestä löytyi lokakuussa kaksi kriittistä haavoittuvuutta, jotka koskivat lähes kaikkia PHP:llä toimivia verkkopalveluita. Suljimme ylläpitämämme palvelut varotoimena siksi aikaa, kun korjausta ei vielä ollut saatavilla. Kaikki asiakkaidemme sivustot on päivitetty käyttämään korjattuja PHP:n versioita, ja sivustot ovat taas normaalisti toiminnassa.

Mistä on kyse? 

Elokuussa 2026 tietoturvatutkijat löysivät tekoälyn avulla (Wiz, Calif, OpenAI) PHP-ohjelmointikielestä kaksi kriittistä haavoittuvuutta (CVE-2026-109618 ja CVE-2026-109619). Noin 70 % verkkosivustoista toimii PHP:llä, esimerkiksi WordPress, Drupal ja monet verkkokaupat. Haavoittuvuudet arvioitiin vakavuudeltaan kriittisiksi (9.2/10), ja tästä käynnistyi internetin historian kenties merkittävin koordinoitu päivitysprosessi.

Syyskuussa PHP:n tietoturvatiimi alkoi toteuttaa korjauksia ja koordinoida niiden jakelua.

Tietoja haavoittuvuuksista vuoti julkisuuteen tiistaina 20.10., ennen kuin korjaus oli saatavilla. Samana iltana PHP ilmoitti julkaisevansa korjatut versiot keskiviikkona 21.10. klo 17 Suomen aikaa.

Tiistaiaamuun heräsivät verkkosivustoylläpitäjät ympäri maailmaa jännittynein tunnelmin. Tilanteen vakavuus alkoi aueta hiljalleen tietojen tullessa ripotellen tietoturvatoimijoilta, alan keskusteluryhmistä ja medialähteistä. Ylläpitäjätiimit arvioivat tarvittavia toimenpiteitä kriittisyyden ja tiedossa olevan aikataulun pohjalta.

Miksi nämä haavoittuvuudet ovat kriittisiä?

Haavoittuvuudet voivat antaa hyökkääjälle mahdollisuuden ajaa omaa koodiaan palvelimella ilman rajoitteita. Vika on PHP:ssä itsessään, joten se koskee maailmanlaajuisesti kaikkia PHP:llä toimivia palveluita, ei yksittäistä julkaisujärjestelmää tai lisäosaa. Tavalliset tietoturvalisäosat eivät suojaa itse ohjelmointikielessä olevilta haavoittuvuuksilta.

Kyberturvallisuuskeskus julkaisi haavoittuvuuksista tiedotteen 21.10. aamupäivällä. Sen mukaan aktiivista hyödyntämistä ei ollut tuolloin vielä tiedossa, mutta tilanne saattoi muuttua nopeasti. PHP:n mukaan päivitys oli ainoa täydellinen ratkaisu, eivätkä palomuurit tai väliaikaiset suojaukset tehneet asennuksesta turvallista.

EU:n tietoturvaryhmä CERT-EU sekä monet muut tietoturvaviranomaiset ympäri maailmaa suosittelivat harkitsemaan sivustojen ottamista pois verkosta, jos korjauksia ei voi asentaa heti. Tietoturvayhtiöt arvioivat, että hyökkäykset alkavat nopeasti korjausten julkaisun jälkeen. Joidenkin tietojen mukaan maailmalla nähtiin ensimmäisiä hyökkäysyrityksiä jo tunteja ennen julkaisua, mainittujen vuotojen seurauksena.

Evermaden toimenpiteet

Päätimme sulkea kaikki ylläpidossamme olevat verkkopalvelut ennaltaehkäisevänä toimenpiteenä keskiviikkona klo 12, ennen korjausten julkaisua. Toimenpiteellä varmistimme, ettei haavoittuvuutta päästä hyödyntämään asiakkaidemme palveluissa sillä aikaa, kun korjausta ei vielä ollut saatavilla. Samaan ratkaisuun päätyivät Suomessa myöhemmin esimerkiksi valtion tietotekniikkakeskus Valtori, joka sulki suuren osan valtionhallinnon julkisista verkkopalveluista varotoimena, sekä monet muut alamme toimijat globaalisti. 

Näin toimimme:

• Arviointi: Arvioimme tietoturvatiimimme kanssa tilanteen vakavuuden tiedossa olevan tiedon pohjalta sekä kävimme läpi eri toimenpidemahdollisuudet.
• Viestintä: Kerroimme asiakkaillemme tilanteesta ja katkosta perusteluineen, ja päivitimme tilanteesta proaktiivisesti tilanteen ollessa päällä ja sen jälkeen. 
• Toimenpiteet: Suljimme asiakkaidemme sivustot ja autoimme asiakkaitamme jatkotoimenpiteissä.
• Päivitys: Asensimme korjaukset niiden julkaisun jälkeen ja palautimme palvelut verkkoon vaiheittain, kun niiden toiminta oli varmistettu.
• Seuranta: Seuraamme tapahtuman uutisointia ja valvomme palveluita päivityksen jälkeen poikkeavan toiminnan varalta. Emme ole tähän mennessä havainneet merkkejä hyökkäyksistä palveluihimme. Jatkamme seurantaa tehostetusti seuraavien päivien ajan.

Viralliset korjaukset julkaistiin PHP:n versioille 8.2–8.5 (8.2.35, 8.3.36, 8.4.27 ja 8.5.12). Vanhemmille versioille on tarjolla epävirallisia korjauksia, joten niitä käyttävien palveluiden päivittämisestä sovimme erikseen.

Pahoittelemme katkosta ja lyhyellä varoitusajalla tullutta tiedotetta. Pidämme ennaltaehkäisevää sulkemista oikeana ratkaisuna, kun vastassa oli näin laaja ja vakava haavoittuvuus. 

Asiakkaidemme sivustojen tietoturva on meille aina ensisijaista.