PHP Foundation myöntää rakenteellisen vian viivästyttäneen korjausta

PHP Foundation kertoi, että viivästys yhden kahdesta kriittisestä PHP-ohjelmointikielen haavoittuvuudesta korjaamisessa "oli rakenteellinen vika". Säätiö myönsi asian keskiviikkona 21. lokakuuta sen jälkeen, kun hätäpäivitykset oli julkaistu ja hallitukset ympäri maailmaa olivat varotoimenpiteenä sulkeneet verkkosivustoja, raportoi Reuters The Standardin välityksellä. Säätiön mukaan tutkija löysi ensimmäiset merkit haavoittuvuudesta vuonna 2024, mutta tuolloin ei löytynyt konkreettista tapaa hyödyntää sitä, ja muihin selkeämpiin ongelmiin priorisoitiin resurssit.thestandard.com.hk

Kuukausia kestänyt viivästys

LWN:n lainaamassa blogikirjoituksessa säätiö kertoi, että sen tietoturvatiimi kehitti useita kilpailevia korjauksia. Jokaisella oli hintansa: yksi rikkoi taaksepäin yhteensopivuuden, toinen loi uuden palvelunestohyökkäyksen riskin ja kolmas vaati muutoksia moniin kolmannen osapuolen laajennuksiin. Tiimi teki päätökset konsensuksella ja "pelkäsi väärien valintojen seurauksia", se kirjoitti. Koska etäkoodin suorittamiseen ei tiedetty reittiä ja harvoilla ydinkehittäjillä, jotka tuntevat moottorin hyvin, oli paljon muita tehtäviä, työ "pysähtyi ja käynnistyi toistuvasti kuukausien ajan". "Emme teeskentele muuta: viivästys oli rakenteellinen vika, joka johtui sekä tietoturvatiimin päätöksentekoprosessista että resurssien puutteesta", säätiö totesi.lwn.net

Ongelma muuttui kiireelliseksi jälleen 11. elokuuta. Tuona päivänä tietoturvayhtiö Calif ja OpenAI raportoivat toisistaan riippumatta samasta perussyystä, ja Calif osoitti voivansa suorittaa koodia etänä ilman ehtoja, kertoi Cointelegraph. Säätiö kertoi siirtyneensä sittemmin tietoturvapäätöksissä konsensuksesta enemmistöpäätöksiin ja palkanneensa kaksi insinööriä lisää. Se kehotti myös PHP:sta riippuvaisia yrityksiä ja hallituksia auttamaan tietoturvatyön rahoittamisessa, raportoi The Next Web. Julkaisu aikaistui päivällä sen jälkeen, kun haavoittuvuustunnisteet vuotivat verkkoon, ja säätiö kritisoi Chainguardia korjattujen kuvien julkaisemisesta ennen koordinoitua julkaisua.tradingview.com+1

Verkkosivustot pimenivät

PHP2Shell-nimellä tunnetut haavoittuvuudet on kirjattu tunnuksilla CVE-2026-109618 ja CVE-2026-109619. Ne on korjattu PHP-versioissa 8.5.12, 8.4.27, 8.3.36 ja 8.2.35, ja jokainen verkkopyyntöjä palveleva PHP-asennus on mahdollisesti vaarassa, raportoi The Register. Yhdysvaltojen, Britannian, Kanadan, Australian ja Euroopan unionin kyberturvallisuusviranomaiset kehottivat verkkosivustojen ylläpitäjiä sulkemaan sivustot, kunnes ne voidaan päivittää, kertoi Cybersecurity Dive. Tietoturvatoimittaja Brian Krebs arvioi, että lähes 70 prosenttia verkkosivustoista tarvitsee päivityksen.theregister.com+2

Alankomaat sulki digitaalisen tunnistautumispalvelunsa. Suomen valtion IT-palvelukeskus Valtori katkaisi julkiset verkkopalvelut, ja Ranska sulki väliaikaisesti prefektuurien verkkosivustoja, kertoi Cointelegraph. Myös Wikimedia Foundation sulki joitakin tukipalveluitaan. Coinbase ↗ 3.65% ilmoitti, ettei se löytänyt yhtään altistunutta PHP-instanssia.tradingview.com

Yhdysvaltain kyberturvallisuusvirasto CISA ilmoitti varoituksessaan, ettei se ollut "havainnut näiden haavoittuvuuksien hyödyntämistä". Se kuitenkin varoitti, että ne "aiheuttavat riskin organisaatioille, jos niitä ei korjata", Reuters raportoi.thestandard.com.hk