21.10.2026
PHP-ohjelmointikielestä löytyi lokakuussa kaksi kriittistä tietoturvahaavoittuvuutta (CVE-2026-109618 ja CVE-2026-109619, tunnetaan myös nimellä PHP2Shell). Haavoittuvuudet koskevat käytännössä kaikkia PHP:llä toteutettuja verkkosivustoja, kuten WordPress-, Joomla- ja Drupal-sivustoja sekä verkkokauppoja. Ne mahdollistavat palvelimen haltuunoton ilman kirjautumista.
Mitä olemme tehneet
Otimme 21.10. iltapäivällä käyttöön väliaikaiset suojaukset ennen kuin PHP:n korjaukset julkaistiin. Palomuurisäännöt pysäyttävät tunnetut hyökkäysyritykset ennen kuin ne ehtivät sivustoille.
Asensimme korjatut PHP-versiot jaetuille hosting-palvelimillemme heti, kun ne julkaistiin 21.10. illalla. Korjaus koskee kaikkia palveluissamme tarjolla olevia PHP-versioita, myös vanhempia.
Seuraamme palvelimiamme ja tarkistamme ne säännöllisesti.
Vaikutus asiakkaille
Suojauksen vuoksi tiedostojen lataaminen sivustoille (esimerkiksi kuvien lisääminen WordPressiin tai liitteet lomakkeissa) oli tilapäisesti estetty 21.10. iltapäivästä 22.10. yöhön asti. Rajoitus on nyt poistettu, ja lataukset toimivat normaalisti. Jos lataus epäonnistui tuona aikana, yritä uudelleen.
Jaetulla hosting-palvelulla olevien asiakkaiden ei tarvitse tehdä mitään.
Suosittelemme
Jos sivustosi käyttää vanhaa PHP-versiota (8.1 tai vanhempi), päivitä se cPanelin MultiPHP Manager -työkalulla versioon 8.3 tai uudempaan. Vanhat versiot saavat nyt korjauksen, mutta niiden tuki päättyy, eikä tulevia korjauksia voi taata.
Jos sinulla on oma virtuaalipalvelin, jota ylläpidät itse, päivitä PHP versioon 8.2.35, 8.3.36, 8.4.27 tai 8.5.12 (tai uudempaan), ja käynnistä web-palvelin ja PHP uudelleen. Ylläpitopalvelua käyttäviin palvelinasiakkaisiin olemme yhteydessä erikseen.
Lisätietoja saat asiakaspalvelustamme helpdesk@datasafe.fi tai puhelimella 05 420 29451