PHP-ohjelmistosta on julkaistu 21.10.2026 kaksi kriittistä tietoturvahaavoittuvuutta, jotka mahdollistavat palvelimen etähallinnan ilman tunnistautumista. Haavoittuvuuksien vakavuusluokitus on CVSS 9.2 (kriittinen), ja ne koskevat käytännössä kaikkia yleisesti käytössä olevia PHP-ympäristöjä.
Mitä haavoittuvuus tarkoittaa?
Haavoittuvuuksia (CVE-2026-109618 ja CVE-2026-109619) hyväksikäyttämällä hyökkääjä voi suorittaa omia komentojaan palvelimella ja pahimmillaan saada palvelimen täysin haltuunsa ilman käyttäjätunnuksia tai salasanoja. Julkisia hyväksikäyttöesimerkkejä (PoC) on jo saatavilla, mikä kasvattaa hyväksikäytön riskiä merkittävästi.
Mitä järjestelmiä haavoittuvuus koskee?
Haavoittuvuus koskee PHP:tä käyttäviä verkkopalveluita ja sovelluksia, kuten:
- PHP-FPM
- Apache (mod_php)
- php-cgi
- FrankenPHP
- LiteSpeed
Erityisen riskialttiina pidetään Apache mod_php -ympäristöjä.
Suositellut toimenpiteet
Mikäli palvelunne tai sovelluksenne käyttää PHP:tä, suosittelemme:
- Tarkistamaan käytössä olevan PHP-version välittömästi.
- Päivittämään korjattuun versioon viipymättä.
- Priorisoimaan internetiin avatut palvelut.
- Mikäli päivitystä ei voida toteuttaa heti, rajaamaan palvelun näkyvyyttä tai eristämään se julkisesta verkosta siihen saakka, kunnes päivitys on asennettu.
Korjatut PHP-versiot
Haavoittuvuudet on korjattu seuraavissa versioissa:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Näitä vanhemmat versiot ovat alttiita haavoittuvuuksille.
Marskidata apuna kanssanne
Jos tarvitsette apua ympäristönne arvioinnissa tai päivitysten toteuttamisessa, ottakaa yhteyttä Marskidatan ServiceDeskiin: servicedesk@marskidata.fi
Lue lisää Kyberturvallisuuskeskuksen sivuilta: https://kyberturvallisuuskeskus.fi/fi/haavoittuvuudet/haavoittuvuus-2026-37