WordPress toimii PHP:n varassa, ja PHP:n versio ratkaisee, saako sivusto vielä tietoturvakorjauksia. Lokakuussa 2026 PHP:stä löytyi kaksi kriittistä haavoittuvuutta, jotka sai korjattua vain päivittämällä PHP:n. WordPressin päivittäminen ei auttanut. Tästä ohjeesta näet, miten PHP-version tarkistaa parissa minuutissa, mikä versio on turvallinen ja miten päivitys tehdään niin, ettei sivusto hajoa.
PHP2Shell: miksi PHP-versiolla on nyt väliä
PHP julkaisi 21.10.2026 korjaukset kahteen kriittiseen haavoittuvuuteen (CVE-2026-109618 ja CVE-2026-109619), joita kutsutaan nimellä PHP2Shell. Kummankin vakavuus on 9,2/10 (CVSS 4.0). Pahimmillaan hyökkääjä voi ajaa palvelimella omia komentojaan kirjautumatta. Apachen mod_php-asennuksissa hyökkäys voi käynnistyä jo ennen kuin WordPressin koodia ajetaan lainkaan.
Haavoittuvuudet koskevat jokaisen PHP-haaran kaikkia versioita ennen korjausjulkaisua: 8.2.35, 8.3.36, 8.4.27 ja 8.5.12. PHP 8.1 ja sitä vanhemmat eivät saa PHP-projektilta enää päivityksiä. PHP ilmoitti 23.10. vielä kolmannesta haavoittuvuudesta (CVE-2026-115560), jonka hyväksikäyttö vaatii harvinaisen yhdistelmän asetuksia ja sovelluskoodia. Se korjataan seuraavassa tavallisessa julkaisussa.
Kyberturvallisuuskeskuksen mukaan haavoittuvuuksien aktiivisesta hyväksikäytöstä ei 21.10. ollut tietoa, mutta toimivia esimerkkikoodeja oli jo olemassa, joten tilanne voi muuttua nopeasti.
PHP:hen julkaistaan tietoturvakorjauksia useita kertoja vuodessa, mutta niitä saa vain tuettu versiohaara. Jokaista haaraa korjataan noin neljä vuotta, ja sen jälkeen löytyvät aukot jäävät auki. Siksi PHP-versio kannattaa tarkistaa säännöllisesti eikä vain silloin, kun haavoittuvuus on uutisissa.
Näin tarkistat PHP-version
WordPressin hallintapaneelista
- Kirjaudu WordPressiin ylläpitäjänä.
- Valitse vasemmasta valikosta Työkalut → Sivuston eheys (englanninkielisessä WordPressissä Tools → Site Health).
- Avaa välilehti Tietoa (Info) ja sieltä kohta Palvelin (Server).
- Rivillä PHP-versio näkyy tarkka versionumero, esimerkiksi 8.3.36.
Katso koko numero. Haara (8.3) kertoo, saako versio vielä tukea, ja viimeinen numero (36), onko uusin korjaus asennettu. Jos versio on vanhentunut, WordPress näyttää ohjausnäkymässä myös varoituksen PHP:n päivitys vaaditaan. Älä kuitenkaan jää odottamaan varoitusta, vaan tarkista numero itse.
Webhotellin hallintapaneelista
Useimmissa webhotelleissa PHP-version näkee ja sen voi vaihtaa hallintapaneelista. cPanelissa kohta on yleensä nimeltään MultiPHP Manager tai Select PHP Version, Pleskissä se löytyy kunkin verkkotunnuksen PHP-asetuksista. Jos et löydä sitä, kysy palveluntarjoajalta, mikä PHP-versio sivustollasi on ja onko lokakuun 2026 korjaus asennettu.
Palvelimelta (ylläpitäjälle)
Omalla palvelimella komento php -v kertoo komentorivin PHP:n version. Sivustoa ei välttämättä aja sama PHP, koska verkkopalvelin voi käyttää eri versiota PHP-FPM:n tai Apachen moduulin kautta. Varmin tieto on WordPressin Sivuston eheys -näkymässä.
Linux-jakelut, kuten Debian, Ubuntu ja Red Hat, siirtävät korjaukset usein omiin paketteihinsa versionumeroa vaihtamatta. Numero voi siis näyttää vanhalta, vaikka korjaus on asennettu. Tarkista silloin paketin muutoslokista, mainitaanko siinä CVE-tunnukset.
Mikä PHP-versio on turvallinen?
Turvallinen versio täyttää kaksi ehtoa: versiohaara saa vielä tietoturvakorjauksia, ja palvelimella on haaran uusin korjausjulkaisu. Lokakuussa 2026 tilanne on tämä:
| PHP-haara | Tietoturvatuki päättyy | PHP2Shell korjattu versiossa |
|---|---|---|
| 8.5 | 31.12.2029 | 8.5.12 |
| 8.4 | 31.12.2028 | 8.4.27 |
| 8.3 | 31.12.2027 | 8.3.36 |
| 8.2 | 31.12.2026 | 8.2.35 |
| 8.1 ja vanhemmat | päättynyt (8.1: 31.12.2025, 7.4: 28.11.2022) | ei virallista julkaisua |
WordPress suosittelee PHP 8.3:a tai uudempaa. Se toimii vielä PHP 7.4:llä, mutta wordpress.org varoittaa, että vanhentunut versio voi altistaa sivuston tietoturvaongelmille. PHP 8.2:n tuki päättyy vuoden 2026 lopussa, joten jos sivustosi käyttää sitä, suunnittele siirto 8.3:een tai 8.4:ään jo nyt.
Versioille 7.4, 8.0 ja 8.1 PHP:n tietoturvatiimi julkaisi PHP2Shell-korjauksen vain lähdekoodina niille, jotka kääntävät PHP:n itse. Jotkin Linux-jakelut ja palveluntarjoajat tekevät vanhoille versioille omia korjattuja paketteja. Pysyvä ratkaisu on silti siirtyä tuettuun versioon.
Näin päivität PHP:n
Webhotellissa
Saman haaran korjaukset (esimerkiksi 8.3.35 → 8.3.36) asentaa webhotellissa yleensä palveluntarjoaja. Haaran vaihdon (esimerkiksi 8.1 → 8.3) teet useimmiten itse hallintapaneelista. Tee se näin:
- Ota varmuuskopio tiedostoista ja tietokannasta. Monessa webhotellissa sen saa hallintapaneelista.
- Päivitä WordPress, teemat ja lisäosat. Vanhentunut lisäosa tai teema on tavallinen syy siihen, että sivusto hajoaa PHP-päivityksessä.
- Testaa ensin kopiossa, jos webhotellissa on testiympäristö (staging).
- Vaihda PHP-versio hallintapaneelista.
- Käy sivusto läpi: etusivu, lomakkeet, verkkokaupan kassa ja hallintapaneeli. Tarkista Sivuston eheys -näkymästä, että uusi versio on käytössä.
Jos jokin hajoaa, palaa hetkeksi edelliseen versioon, korjaa tai vaihda ongelmallinen lisäosa ja yritä uudelleen. Vanhaan versioon ei kannata jäädä.
Omalla palvelimella
- Asenna jakelun päivitetyt PHP-paketit (esimerkiksi
apt upgradetaidnf upgrade) tai käännä korjattu versio. - Käynnistä uudelleen PHP-FPM, Apache ja muut PHP:tä ajavat prosessit, kuten taustatyöt. Korjaus tulee voimaan vasta sen jälkeen.
- Jos sivustoa ajetaan kontissa, rakenna uusi image korjatun PHP:n pohjalta ja ota se käyttöön.
- Tarkista lopuksi versio Sivuston eheys -näkymästä.
Jos päivitys ei onnistu heti
PHP:n mukaan ainoa täydellinen korjaus on päivitys. Jos se viivästyy, palvelimen ylläpitäjä voi pienentää riskiä asetuksilla, joita PHP:n tiedotteissa suositellaan. Webhotellissa asetuksista päättää yleensä palveluntarjoaja.
session.upload_progress.enabled=0estää vahvistetut hyökkäystavat haavoittuvuuksiin CVE-2026-109619 ja CVE-2026-115560. PHP:n mukaan asetus kannattaa pitää pois päältä päivityksenkin jälkeen, jos ominaisuutta ei tarvita.- PHP 8.5:ssä
fatal_error_backtraces=0poistaa toisen vahvistetun hyökkäystavan.
Kumpikaan asetus ei suojaa haavoittuvuudelta CVE-2026-109618. Asetuksilla voi voittaa aikaa, mutta ne eivät korvaa päivitystä.
Usein kysyttyä
Päivittääkö WordPress PHP:n automaattisesti?
Ei. WordPress päivittää itsensä, mutta PHP on palvelimen ohjelmisto, jonka päivittää palveluntarjoaja tai palvelimen ylläpitäjä. Siksi WordPressin päivitys ei korjaa PHP2Shell-haavoittuvuuksia.
Mikä PHP-versio WordPressiin kannattaa valita?
WordPress suosittelee PHP 8.3:a tai uudempaa. Lokakuussa 2026 hyviä valintoja ovat 8.3 ja 8.4, kunhan uusin korjaus on asennettu ja lisäosat tukevat versiota.
Rikkooko PHP-päivitys sivuston?
Saman haaran korjausjulkaisu, kuten 8.3.35 → 8.3.36, rikkoo harvoin mitään. Haaran vaihto voi rikkoa vanhan lisäosan tai teeman, joten ota varmuuskopio ja testaa ensin.
Onko PHP 7.4 vielä turvallinen?
Ei. Sen tietoturvatuki päättyi 28.11.2022. WordPress toimii vielä 7.4:llä, mutta wordpress.org varoittaa, että vanhentunut versio voi altistaa sivuston tietoturvaongelmille.
Mistä tiedän, onko webhotellini asentanut PHP2Shell-korjauksen?
Katso PHP-version koko numero Sivuston eheys -näkymästä ja vertaa sitä yllä olevaan taulukkoon. Jos numero on pienempi, kysy palveluntarjoajalta, onko korjaus mukana heidän paketissaan.
Jos PHP-päivitys rikkoo lisäosan tai sivuston ylläpidolle tarvitaan tekijä, ota yhteyttä. Autamme WordPress- ja PHP-sovellusten päivityksissä.
Lähteet
- Kyberturvallisuuskeskus: Kriittisiä haavoittuvuuksia PHP:ssa (37/2026)
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (englanniksi)
- PHP: RCE via OOM corruption, CVE-2026-109618 (englanniksi)
- PHP: RCE via stale global state, CVE-2026-109619 (englanniksi)
- PHP: tuetut versiot (englanniksi)
- WordPress: vaatimukset (englanniksi)
