Kriittisiä haavoittuvuuksia PHP:ssa
PHP on julkaissut tiedotteen sivuillaan tänään julkaistavista kahdesta kriittisestä haavoittuvuudesta. Haavoittuvuudet korjaava ohjelmistopäivitys on valmistajan mukaan tulossa saataville keskiviikkona 21.10.2026 klo 17:00 (14:00 UTC). Korjattu ohjelmistoversio tulee ottaa käyttöön mahdollisimman pian sen julkaisun jälkeen kaikissa ympäristöissä, joissa PHP on käytössä.
Haavoittuvuuden yhteenveto
- Haavoittuvuus: 37/2026
- Tunnisteet: CVE-2026-109618, CVE-2026-109619
- Vakavuus: 9.2 (CVSS 4.0, kriittinen)
- Kohde: PHP
- Vaikutus: Tarkentuu myöhemmin
- Korjaustoimet: Päivitä PHP haavoittuvuudet korjaavaan versioon viipymättä julkaisun jälkeen
Mistä on kysymys?
Erittäin laajalti käytössä olevasta verkkopalvelujen toteuttamiseen käytetystä PHP-ohjelmistosta on löydetty kaksi kriittistä haavoittuvuutta, joihin ei vielä ole julkaistu korjaavia päivityksiä. Valmistaja on julkaissut illalla 20.10.2026 haavoittuvuuksista ennakkotiedotteen, jonka pohjalta tulee varautua ottamaan päivitykset käyttöön viipymättä heti niiden julkaisun jälkeen.
Tällä hetkellä ei ole tiedossa, että haavoittuvuuksia käytettäisiin aktiivisesti hyväksi mutta tilanne saattaa muuttua nopeasti.
Mitä voin tehdä?
Päivitä mahdollisimman pian korjauksen julkaisun jälkeen haavoittuvat ohjelmistot uusimpaan korjattuun PHP-versioon valmistajan ohjeiden mukaisesti. Haavoittuvuuksien julkaisu tapahtuu valmistajan tiedotteen mukaan keskiviikkona 21.10.2026 klo 17:00 (14:00 UTC) tai aikaisemmin mikäli tilanteeseen tulee jotain merkittäviä muutoksia.
Organisaatioiden kannattaa ennakolta varautua suorittamaan päivitykset normaalien päivityssyklien ulkopuolella kiireellisesti ja seurata eri ohjelmistovalmistajien tiedotteita, joiden tuotteissa käytetään PHP:ta. Jos ympäristön päivitys ei ole mahdollista haavoittuvuuden julkaisun jälkeen, tulee valmistajan esittämät haavoittuvuuden hyödyntämisen rajoittamiskeinot ottaa käyttöön viipymättä.
// Päivitys 21.10.2026 klo 15:00
Haavoittuvuuksille voidaan kehittää hyvin nopeasti hyökkäysmenetelmiä erityisesti haavoittuvuuden korjaavan ohjelmistoversion julkaisun jälkeen. Tästä syystä suosittelemme jo ennen päivitysten ja rajoituskeinojen julkaisua seuraavia ennakoivia toimenpiteitä:
- Tunnistakaa järjestelmänne, joissa on käytössä jokin PHP-ohjelmiston versio, priorisoiden julkiverkkoon näkyvät järjestelmät
- Seuratkaa PHP:n virallista tiedotusta.
- Varautukaa päivittämään järjestelmänne ensi tilassa ohjelmistokorjauksien julkaisun jälkeen.
- Seuratkaa muiden ohjelmistovalmistajien päivityksiä, mukaan lukien appliance-ratkaisut ja muut palvelut, jotka voivat käyttää PHP-ohjelmistoja.
- Mahdollisuuksien mukaan tehostakaa internet-liitäntäisten järjestelmien monitorointia mahdollisen haitallisen toiminnan tunnistamiseksi.
- Seuratkaa uhkatilanteen kehittymistä ja tehkää oma riskiarvio PHP-haavoittuvuuden vaikutuksista järjestelmiinne - vaihtoehtona myös haavoittuvien järjestelmien eristäminen verkosta ennen ohjelmistokorjausten asentamista omaan riskiarvioon pohjautuen.
Erilaisissa julkisissa lähteissä on esitetty useita haavoittuvuuksien hyväksikäytön rajoittavia toimenpiteitä, mutta nämä eivät kuitenkaan täysin poista uhkaa, joten korjaava ohjelmistoversio tai valmistajan esittämät rajoituskeinot tulee ottaa myös käyttöön heti niiden julkaisun jälkeen.