Tiedote PHP-haavoittuvuudet on korjattu

[borg]

Kyberturvallisuuskeskus ilmoittaa vakavasta PHP-ohjelmointikielen haavoittuvuudesta. PHP on erittäin yleinen nettipalvelimissa ja käytössä myös Konekansan virtuaalipalvelimessa.

Kriittisiä haavoittuvuuksia PHP:ssa | Traficom

PHP on julkaissut tiedotteen sivuillaan tänään julkaistavista kahdesta kriittisestä haavoittuvuudesta. Haavoittuvuudet korjaava ohjelmistopäivitys on valmistajan mukaan tulossa saataville keskiviikkona 21.10.2026 klo 17:00 (14:00 UTC). Korjattu ohjelmistoversio tulee ottaa käyttöön...

kyberturvallisuuskeskus.fi

Päivityksen pitäisi tulla saataville tänään klo 17:00 Suomen aikaa. Asennuksen eksakti ajankohta ei ole tiedossa, mutta se asennetaan kiireellisesti. Tästä saattaa seurata lyhyt toimintakatko.

 

[borg]

Ei liity Konekansaan, mutta näköjään tämä PHP-katastrofi saattaa olla melkoinen riesa pallon ympäri. Kaikki PHP-versiot eivät saa korjauspäivityksiä. Vähän vanhempien PHP-versioiden käyttäjät jäävät suojatta.

Onneksi oma virtuaalipalvelin pyörii CloudLinuxilla ja heillä on menossa tämän korjauksen porttaus myös aiempiin PHP-versioihin. Tämä ratkaisee yhden toisen ongelman, jonka hokasin, kun perehdyin vähän tähän juttuun.

Kannattaa joskus maksaa lisensseistä.

 

[borg]

Tiedoksi muiden sivustojen kanssa tekemisissä oleville.

"Tärkeää: sivustot, jotka käyttävät vanhempia PHP-versioita

Tämänpäiväiset PHP-tietoturvapäivitykset julkaistaan vain PHP-versioille 8.2, 8.3, 8.4 ja 8.5. PHP-projekti ei tarjoa korjauksia versioille 8.1, 8.0, 7.x tai 5.x. Kyseisten versioiden elinkaari on päättynyt jo aiemmin, ja ne ovat nyt pysyvästi alttiita etäkoodin suorittamiseen (remote code execution) johtavalle haavoittuvuudelle, jota hyödynnetään parhaillaan aktiivisesti."

 

[borg]

CERT-EU suosittaa estämään nettipääsyn sivustoille, joiden PHP ei ole fiksattavissa.

https://cert.europa.eu/publications/security-advisories/2026-018/

"Where immediate remediation is not feasible, organisations should consider isolating internet-facing applications from public networks until a fix can be applied."

 

[cimo]

Enpä tiedä yhtään, että mikä haavoittuvuus on ja miten sitä pystyy hyötykäyttämään, mutta kävimpä muutamat foorumit läpi, joilla mulla tunnukset on ja päivitin kaikkiin uudet ja ERIT salasanat.
En tiedä auttaako, mutta hyvä tehdä varmaan muutenkin silloin tällöin.
Saattaa olla, että esim. masinistit tai Ruotsin masinistit eivät ihan heti ole päivittämässä alustaansa.

 

[borg]

Sivustot, jotka toimivat vanhoilla ja tyypillisesti ilmaisilla ohjelmaversioilla ovat varmaan kaikkein kehnoimmassa asemassa olevia, mitä tulee murtautumisen helppouteen.

Nettiroistojen toiminnan ideana on kuitenkin tehdä ensisijassa rahaa, eikä kiusaa. Tämä taas hieman suojelee kaikkia köyhiä ja heikkoja. Rahakkaisiin kohteisiin hyökätään ensin.

 

[borg]

uudet ja ERIT salasanat.

Tämä on tärkeä asia. Kaikilla eri sivustoilla pitäisi aina käyttää eri salasanaa.

Eikä sähköpostin salasanaa saisi ikinä käyttää missään muualla.

 

[borg]

Monet isot sivustot ilmoittavat, että kun PHP-korjaus saadaan, he ajavat sivustonsa alas.

Esim. Haaga-Helia:

Our online services will be taken offline today, Wednesday, due to a critical vulnerability

Vulnerabilities have been discovered in the PHP programming language. As a result, we are having to shut down several of our online services today. A patch will be made available to us at 5.00 pm,…

www.haaga-helia.fi

Syy tähän on, että korjauspäivityksen koodi myös paljastaa sen, missä vika oli.

Ei ole poissuljettua, etteikö Konekansakin voisi mennä pimeäksi joksikin aikaa.

 

[borg]

Valtionhallinnon verkkopalveluja ajetaan alas varotoimenpiteenä – asiantuntija: Kyseessä poikkeuksellinen haavoittuvuus

Myös Ylen verkkopalveluissa on ilmennyt katkoja. Käyttökatkojen ja alasajojen taustalla ovat PHP-ohjelmistosta löydetyt kriittiset haavoittuvuudet.

yle.fi

 

[borg]

Paikkaukset on tiettävästi julkistettu ja korjaukset maailmalla ovat käynnissä.

 

[jusape]

Olikin äsken puoltuntia pois päältä tää softa ...

 

[borg]

Toimenpiteitä on tehty. Tulee vielä toinen kierros.

 

[borg]

Luin pornoa, nimittäin tilastopornoa.

Tilanne on aika paha. Internetin palvelimista php:tä käyttää yli 70%. Tuosta osuudesta 49% käyttää php:n versiota 8.1 tai vanhempaa. Näillä ei ole enää php-projektin suoraa tukea. Sitä saattaa kyllä tulla muiden toimijoiden kautta, jotka mahdollisesti tekevät päivityspaketteja tuettua vanhempiin php-versioihin.

Ainakin 1,5 miljoonaa internet-palvelinta on nyt alttiina tunkeutumiselle näiden nyt julki tulleiden kahden php-haavoittuvuuden kautta.

 

[borg]

Apuakin on saatavissa. Cloudflare voi vähentää riskiä, jos php:n päivittämisen tiellä on hidasteita.

Cloudflare deploys protections against php2shell vulnerability

Cloudflare has deployed default web application firewall (WAF) protections for newly disclosed PHP vulnerabilities before public disclosure. The rules use request and response signals to stop exploit attempts and prevent exposed data from reaching attackers.

blog.cloudflare.com

 

[borg]

PHP on päivitetty. CloudLinux sai julkaistuksi omat päivityksensä vasta varttia vaille kaksi yöllä, minkä jälkeen Matt pääsi tekemään päivitykset. Tämä vähän venähti arvioidusta aikataulusta, mutta nyt on taas kaikki kunnossa.

PHP-haavoittuvuudet CVE-2026-109618 and CVE-2026-109619 on siis korjattu tältä palvelinalustalta.

 

[borg]

On syytä huomioida, että ongelma koskee vielä hyvin suurta määrää etenkin vanhempia nettisivustoja, joissa käytetään PHP:tä. Tämä ei ole aivan riskitöntä sivustojen käyttäjillekään. Nämä haavoittuvuudet mahdollistavat palvelimen haltuunoton etänä ja periaatteessa hyökkääjä voi tehdä sivustolla mitä lystää.

Kyberturvakeskus: "Haavoittuvuutta hyväksikäyttämällä hyökkääjä voi mahdollisesti suorittaa etänä mielivaltaisia komentoja palvelimella ja ottaa sen täysin hallintaansa."

Kaapattua palvelinta voidaan käyttää esim. palvelunestohyökkäyksiin bottiverkon osana tai kaapatun sivuston kautta voidaan mahdollisesti tartuttaa haittaohjelmia sillä vierailevien käyttäjien laitteisiin.

 

[borg]

Vajaan 5h katkos tai nyt tämä olla, tällä voorumilla.

Foorumi oli tarkoituksellisesti suljettuna, koska CloudLinuxin päivityksen saanti alkoi kestää. Samaan aikaan foorumilla oli noin 200 bottikäyntiä per minuutti ja botit "katselivat tuntematonta sivua". Tämä ei näyttänyt oikein asianmukaiselta, joten laitoin sivuston kiinni.

Ilmiö oli kuitenkin "tunnettu hyvänlaatuinen", mutta koska sivusto oli jo sammuksissa ja tilanne maailmalla kaiken kaikkiaan potentiaalisesti vaarallinen, niin annoin foorumin olla kiinni.

 

[jusape]

Juu en minä ainaka hätääntyillyt tästä, kun tiesin että hommat on ilmeisen vaiheessa, ja palaa toimintaan sitten kun palaa, kunnes hommat on turvaspeksien tasolla taasen.