PHP julkaisee kiireelliset turvallisuuspäivitykset kahden kriittisen haavoittuvuuden korjaamiseksi

Kuva: Ars Technica · Lähde

PHP:n ylläpitäjät aikovat julkaista hätäkorjaukset kahteen erittäin vakavaan haavoittuvuuteen, joiden vakavuuspisteet ovat 9,2. Korjaukset käsittelevät PHP2Shell-nimistä hyökkäystä, joka mahdollistaa etäkoodin suorittamisen useilla PHP-pohjaisilla alustoilla.

PHP, laajalti käytetty avoimen lähdekoodin skriptikieli, joka pyörittää monia verkkosivustoja ja sovelluksia, on julkaisemassa kiireellisiä tietoturvakorjauksia kahteen kriittiseen haavoittuvuuteen. Haavoittuvuudet, tunnistettuina CVE-2026-109618 ja CVE-2026-109619, on arvioitu PHP:n ylläpitäjien toimesta vakavuuspistein 9,2/10. Korjauspäivitysten julkaisu on odotettavissa lähiaikoina, ja varoitusten mukaan avoimet tiedot tai todisteet aktiivisesta hyväksikäytöstä voivat aikaistaa julkaisua.

Vahvistamaton raportti julkaistiin yhdessä demonstraatiovideon kanssa hyökkäystyökalusta nimeltä PHP2Shell, jonka kerrotaan sallivan etäkoodin suorittamisen verkkopalvelimilla, joissa käytetään useita PHP-pohjaisia sisällönhallintajärjestelmiä ja sovelluksia. Näihin kuuluvat suosittuja alustoja kuten WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel-versiot 8.83.29 ja 13.36.0, Symphony 8.1.9, Drupal 11.4.10 ja WHMCS 9.0.9.

Tietoturvayritys watchTowr kertoi näiden haavoittuvuuksien vaikuttavan kaikkiin PHP-versioihin alkaen vuodesta 2004 julkaistusta PHP 5:stä, ja on itsenäisesti vahvistanut niiden aitouden. Useat tietoturvayritykset, kuten Sansec, Webfence ja Huntress, ovat antaneet varoituksia, ja Sansec ennustaa laajamittaisia hyväksikäyttöyrityksiä pian korjausten julkaisun jälkeen.

Ylläpitäjiä kehotetaan valmistelemaan varautumalla tunnistamalla PHP:n ylläpidosta vastaavat henkilöt, listaamalla PHP-pohjaiset sovellukset, aikatauluttamalla huoltokatko – suositellaan aloitettavaksi klo 14:00 UTC, mutta mahdollisesti aiemmin – sekä varmistamaan täydelliset varmuuskopiot verkkosivustoista ja tietokannoista. Asiantuntijat suosittelevat myös seuraamaan tarkasti PHP.netin virallista sivustoa päivitysten tai korjausten mahdollisesti nopeutetun julkaisun varalta.

Koska PHP on olennainen osa miljoonia verkkosivustoja ja sisäisiä työkaluja maailmanlaajuisesti – arvioitu haavoittuvien isäntien määrä on noin 1,3 miljoonaa internet-yhteydessä olevaa palvelinta – näillä tietoturva-aukkojen vaikutuksilla voi olla laajat seuraukset. Organisaatioiden suositellaan harkitsevan ei-välttämättömien järjestelmien tilapäistä irrottamista, kunnes korjaukset on sovellettu. Valppaus on edelleen tärkeää, koska korjaukset saatetaan julkaista milloin tahansa aktiivisten uhkien hillitsemiseksi.