PHP julkaisi hätäpäivitykset kriittisiin PHP2Shell-haavoittuvuuksiin

Keskiviikkona 21. lokakuuta PHP:n ylläpitäjät julkaisivat odottamattomia tietoturvapäivityksiä kahdelle kriittiselle haavoittuvuudelle kielen ydinmoottorissa. Bugeja kutsutaan yhteisnimellä PHP2Shell, ja ne mahdollistavat koodin suorittamisen verkkopalvelimilla ilman käyttäjätiliä. BleepingComputer raportoi, että korjatut versiot ovat PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Haavoittuvuudet tunnetaan nimillä CVE-2026-109618 ja CVE-2026-109619, ja molemmat on luokiteltu 9.2-pisteen arvoisiksi CVSS v4.0 -asteikolla. The Hacker News kertoi, että PHP julkaisi ne noin klo 14.00 UTC, päivä sen jälkeen, kun yksityiskohdat vuotivat ennen suunniteltua lokakuun 22. päivän julkistusta.bleepingcomputer.com+1

Panokset ovat korkeat, koska haavoittuvuudet sijaitsevat itse ajoympäristössä, eivät yksittäisissä sovelluksissa. Wiz Research, yksi ne löytäneistä tiimeistä, kertoo PHP:n pyörittävän noin 70 prosenttia maailman verkkosivustoista ja että jokaisessa PHP-versiossa viimeisen vuosikymmenen ajalta, aina 5.4-versioon asti, on vähintään yksi näistä bugeista.ncsc.gov.uk

Hallitukset sulkevat sivustoja

Reutersin mukaan Alankomaiden ja Suomen viranomaiset sulkivat verkkosivustoja varotoimenpiteenä. Kyberturvallisuusvirastot Euroopassa, Australiassa, Japanissa ja Britanniassa kehottivat PHP-käyttäjiä päivittämään välittömästi tai ottamaan sivustonsa pois verkosta. Alankomaiden kyberturvallisuusvirasto sulki oman verkkosivustonsa. Samoin tekivät BBC:n mukaan Alankomaiden parlamentin alahuone Tweede Kamer sekä kansallinen terveys- ja ympäristöinstituutti. Britannian kansallinen kyberturvallisuuskeskus neuvoi, että "jos välitön korjaaminen ei ole mahdollista, organisaatioiden tulisi harkita järjestelmän ottamista pois verkosta".reuters.com+1

Ennen päivitysten julkaisua Cloudflaren teknologiajohtaja Dane Knecht totesi: "Näemme varhaisia hyökkäyksiä", ja kutsui yrityksen palomuurisääntöjä "vain väliaikaiseksi ratkaisuksi". Onnistuneita murtoja ei ole vahvistettu. Kello 11.26 UTC watchTowr ei ollut havainnut hyödyntämistä luonnossa.thehackernews.com+1

Vanhemmat versiot jäävät suojaamattomiksi

Haavoittuvuudet vaikuttavat PHP-FPM:ään, Apacheen mod_php:n kanssa, php-cgi:hin, FrankenPHP:hen ja LiteSpeediin. PHP-tiimi sanoo mod_php:n kantavan suurimman riskin, koska osoitettu hyökkäys voidaan laukaista tunnistautumattomalla pyynnöllä "ennen kuin sovelluskoodi ehtii suorittua". Versioita 8.1 ja sitä vanhempia ei enää tueta, eikä niille tule virallisia julkaisuja. Bugin vakavuuden vuoksi PHP-tiimi julkaisi kuitenkin minimaaliset lähdekoodin takaisinporttaukset 7.4-, 8.0- ja 8.1-versioille. Hyökkääjät voivat myös lukea työntekijäprosessien muistia, joka saattaa sisältää salasanoja, API-avaimia ja varmenteita. Sovelluksen, kuten WordPressin, päivittäminen ei päivitä sen alla olevaa PHP-ajoympäristöä.bleepingcomputer.com+1

Tekoälyavusteinen löytö

Haavoittuvuudet löysivät Wiz, Calif ja OpenAI:n Codex Security -tiimi. The Hacker Newsin mukaan taustalla oleva koodi oli ollut PHP:ssä yli vuosikymmenen. Wiz vertasi PHP2Shelliä Heartbleediin ja Log4Shelliin. Se totesi, että kehittyneet tekoälymallit "vähensivät merkittävästi" kynnystä muuttaa pitkäaikainen haavoittuvuus toimivaksi hyökkäykseksi. Ennen julkaisua PHP-ydinkehittäjä Gina Peter Banyard varoitti, että "ainoa lievennyskeino on PHP:n paikkaaminen tai päivittäminen".thehackernews.com+1