Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]

ic3.gov.time.com.apnews.com+1.Hallitukset ja yritykset viettivät viikon korjaamalla kahta kriittistä haavoittuvuutta PHP-ohjelmointikielessä, joka pyörittää jopa 70 prosenttia verkkosivustoista. Tutkijat löysivät haavoittuvuudet tekoälyn avulla, ja hyökkäysyritykset lisääntyivät jyrkästi sen jälkeen, kun tiedot vuotivat verkkoon. Jotkut kyberturvallisuuden ammattilaiset ovat alkaneet kutsua tätä hetkeä "mustaksi lokakuuksi", CNBC raportoi.cnbc.com
Virheet tunnetaan nimillä CVE-2026-109618 ja CVE-2026-109619, ja niitä kutsutaan yhteisesti nimellä "PHP2Shell". Ne voivat antaa hyökkääjille mahdollisuuden suorittaa koodia palvelimella ilman kirjautumista. PHP julkaisi korjaukset 21. lokakuuta versioille 8.2–8.5, Newsweek raportoi. Perjantaina julkaistussa tiedotteessa FBI totesi, että "tietoturvapäivitykset ovat saatavilla ja ne on asennettava välittömästi".time.com+1
NSA, FBI ja CISA kehottivat keskiviikkona organisaatioita korjaamaan haavoittuvuudet heti ja ottamaan järjestelmät pois verkosta, jos korjaaminen ei onnistu, Nextgov raportoi. "Nämä haavoittuvuudet tarjoavat usein suoran reitin palvelimen tiedostojärjestelmään tai tietokantaan", NSA kirjoitti The Hillin mukaan.nextgov.com+1
Hallitusten verkkosivustot Britanniassa, Suomessa ja Japanissa kärsivät käyttökatkoista tai rajoitetusta palvelusta korjaustöiden aikana, AP raportoi. New Yorkissa Broome Countyn hallinto otti verkkosivustonsa pois käytöstä perjantaina "varmuuden vuoksi". Piirikunnan johtaja Jason Garnar ei kertonut, milloin sivusto palaa toimintaan, WSKG raportoi.wskg.org+1
Wiz on tietoturvayritys, jonka omistaa Google Alphabet Inc. . Elokuussa Wizin tutkija Sagi Tzadik pyysi tekoälyagenttia muokkaamaan WordPress-hyökkäyksen Drupalille. Agentti epäonnistui tehtävässä, mutta löysi PHP-haavoittuvuuden, joka oli pysynyt huomaamattomana yli vuosikymmenen, TIME raportoi. Erillisesti Calif-yritys löysi OpenAI:n kanssa työskennellessään liittyvän virheen. Noin 15 hengen ryhmä työskenteli sitten yhdessä korjauksen parissa.time.com
Tieto haavoittuvuuksista levisi kaksi päivää ennen suunniteltua korjauspäivää, joten PHP:n ylläpitäjät julkaisivat korjauksen päivää aiemmin. Tunteja myöhemmin Calif julkaisi vahingossa videon hyökkäyksestään. Cloudflare laski kymmeniä tuhansia hyökkäysyrityksiä 45 minuutin kuluessa julkisesta ilmoituksesta ja lopulta miljoonia, TIME kertoi. PHP Foundation totesi, että ongelma oli ollut tiedossa ainakin vuodesta 2024 lähtien ja kutsui viivästystä "rakenteelliseksi epäonnistumiseksi", AP raportoi.apnews.com+1
Asiantuntijoiden mukaan suurin osa työstä lankeaa verkkosivustoja ylläpitäville yrityksille, mutta yksityishenkilöt voivat silti suojautua. Trail of Bitsin Dan Guido suositteli, että ihmiset "ottavat automaattiset päivitykset käyttöön puhelimessa, tietokoneessa ja kotireitittimessä". Muut neuvoivat käyttämään monivaiheista tunnistautumista ja eri salasanaa jokaiselle sivustolle, Samaa TV raportoi. "Et voi korjata sairaalasi verkkosivustoa", Guido sanoi.samaa.tv
CISA:n entinen johtaja Chris Krebs kehotti pienempiä yrityksiä etsimään haavoittuvuuksia "jatkuvasti" ja asentamaan korjaukset mahdollisimman nopeasti. "Tämä on merkittävä viikko tai kaksi kyberturvallisuudessa", hän kertoi CNBC:lle.cnbc.com