Kriittisiä haavoittuvuuksia PHP:ssa

Haavoittuvuuden kohde

// Päivitys 21.10.2026 klo 17:00

Kaikki PHP-asennukset, mukaan lukien PHP-FPM, Apache mod_php-moduulilla, php-cgi, FrankenPHP ja LiteSpeed. Riski on suurin tällä hetkellä mod_php:lle, jolle on tarjolla toimiva hyväksikäyttömenetelmä, jossa tunnistautumaton pyyntö voi käynnistää hyökkäyksen ennen kuin mitään sovelluskoodia ajetaan.

Haavoittuvuuden korjaavat PHP-versiot:

• 8.5.12
• 8.4.27
• 8.3.36
• 8.2.35

Mistä on kysymys?

// Päivitys 30.10.2026 klo 08:10

Ensimmäisiä varmennettuja onnistuneita haavoittuvuuksien hyväksikäyttötapauksia on havaittu maailmalla. Erityisesti Palo Alto Networks on kertonut julkisesti PHP2Shell-haavoittuvuuksien aktiivisesta hyväksikäytöstä PAN-OS -hallintaliittymiä vastaan. Hyökkäyskampanjassa hyökkääjät ketjuttivat PHP2Shell-haavoittuvuuden Linux-ytimen oikeuksienkorotushaavoittuvuuteen saadakseen pääkäyttäjätason käyttöoikeudet. 

// Päivitys 23.10.2026 klo 15.30

PHP Foundation ilmoitti 23.10.2026 verkkosivuillaan kolmannesta haavoittuvuudesta (CVE-2026-115560), joka mahdollistaa myös etäkoodin suorittamisen. Tämä haavoittuvuuden hyväksikäyttäminen edellyttää harvinaista yhdistelmää asetuksia ja sovelluskoodia. Koska kyseinen kokoonpano on epätavallinen, PHP julkaisee korjauksen haavoittuvuuteen normaalissa julkaisusyklissä ja täydellinen CVE-2026-115560 -tiedote julkaistaan seuraavan version yhteydessä.

Samat julkaistut mitigointitoimet, jotka ovat koskettaneet haavoittuvuutta CVE-2026-109619, koskevat myös uusinta haavoittuvuutta. Haavoittuvuuden mitigoimiseksi suositellaan asettamaan 'session.upload_progress.enabled=0' seuraavaan PHP:n virheenkorjausjulkaisuun asti mahdollisen hyökkäysvektorin estämiseksi. Jos asetus poistettiin käytöstä 21.10.2026 julkaistun haavoittuvuuden mitigointitoimena, lisätoimia ei tarvita.

// Päivitys 21.10.2026 klo 17:00

Erittäin laajalti käytössä olevasta verkkopalvelujen toteuttamiseen käytetystä PHP-ohjelmistosta on löydetty kaksi kriittistä etäkoodin suorittamisen mahdollistavaa (RCE) haavoittuvuutta, CVE-2026-109618 ja CVE-2026-109619. Haavoittuvuuksia hyväksikäyttämällä hyökkääjä voi onnistua suorittamaan haavoittuvalla palvelimella haluamiaan komentoja ja mahdollisesti ottaa palvelin hallintaansa

Haavoittuvuudet:

• RCE via OOM corruption, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): Etäkoodin suoritus muistin loppumisesta johtuvan korruption kautta, jossa muistin loppumisen käsittely voi keskeyttää PHP:n silloin, kun pyynnön sisäinen data on alustettu vain osittain. Pyynnön siivousvaihe voi tällöin käsitellä virheellistä dataa kelvollisena.
• RCE via stale global state, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): Etäkoodin suoritus vanhentuneen globaalin tilan kautta, jossa pyynnölle kuuluva sisäinen tila voi säilyä senkin jälkeen, kun sen taustalla oleva muisti on vapautettu. Saman työprosessin myöhemmin käsittelemä pyyntö voi käyttää tätä vanhentunutta tilaa ennen kuin normaali alustus nollaa sen.

Mitä voin tehdä?

// Päivitys 23.10.2026 klo 15.30

Haavoittuvuuden CVE-2026-115560 mitigoimiseksi suositellaan asettamaan 'session.upload_progress.enabled=0' seuraavaan PHP:n virheenkorjausjulkaisuun asti mahdollisen hyökkäysvektorin estämiseksi. Jos asetus poistettiin käytöstä 21.10.2026 julkaistun haavoittuvuuden mitigointitoimena, lisätoimia ei tarvita.

// Päivitys 21.10.2026 klo 17:00

Päivitä haavoittuvat ohjelmistot uusimpaan korjattuun PHP-versioon valmistajan ohjeiden mukaisesti:

• Päivitä versioon PHP 8.5.12, 8.4.27, 8.3.36 tai 8.2.35. Lähdekoodit löytyvät lataussivultamme. Windowsin lähdekoodit ja valmiit binäärit ovat samalla sivulla.
• Linux-jakelut ja LTS-toimittajat saivat korjaukset etukäteen, joten tarkista päivitetyt paketit toimittajaltasi.
• PHP 8.1 ja sitä vanhemmat versiot eivät enää saa päivityksiä PHP-projektilta. Jotkin jakelut ja LTS-toimittajat tarjoavat takaisinsovitettuja korjauksia, joten kysy lisätietoja toimittajaltasi tai päivitä tuettuun versioon.
• Jos käytät muualla ylläpidettyä rpms.remirepo.net-pakettivarastoa, kehotamme siirtymään jakelun omiin paketteihin tai kääntämään PHP:n lähdekoodista, jotta voit ottaa päivitykset käyttöön välittömästi.
• Haavoittuvuuksien vakavuuden vuoksi PHP:n tietoturvatiimi on julkaissut minimaaliset lähdekooditason takaisinsovitukset versioille PHP 7.4, PHP 8.0 ja PHP 8.1 auttaakseen niitä, jotka kääntävät lähdekoodista tai joilla ei ole pääsyä LTS-toimittajan palveluihin.

Organisaatioiden kannattaa ennakolta varautua suorittamaan päivitykset normaalien päivityssyklien ulkopuolella kiireellisesti ja seurata eri ohjelmistovalmistajien tiedotteita, joiden tuotteissa käytetään PHP:ta. Jos ympäristön päivitys ei ole mahdollista, tulee valmistajan esittämät haavoittuvuuden hyödyntämisen rajoittamiskeinot ottaa käyttöön viipymättä. Tarkempia ja ajantasaisia ohjeita rajoittamiskeinoista löydät valmistajan haavoittuvuustiedotteelta.

// Päivitys 21.10.2026 klo 15:00

Haavoittuvuuksille voidaan kehittää hyvin nopeasti hyökkäysmenetelmiä erityisesti haavoittuvuuden korjaavan ohjelmistoversion julkaisun jälkeen. Tästä syystä suosittelemme jo ennen päivitysten ja rajoituskeinojen julkaisua seuraavia ennakoivia toimenpiteitä:

1. Tunnistakaa järjestelmänne, joissa on käytössä jokin PHP-ohjelmiston versio, priorisoiden julkiverkkoon näkyvät järjestelmät
2. Seuratkaa PHP:n virallista tiedotusta.
3. Varautukaa päivittämään järjestelmänne ensi tilassa ohjelmistokorjauksien julkaisun jälkeen.
4. Seuratkaa muiden ohjelmistovalmistajien päivityksiä, mukaan lukien appliance-ratkaisut ja muut palvelut, jotka voivat käyttää PHP-ohjelmistoja.
5. Mahdollisuuksien mukaan tehostakaa internet-liitäntäisten järjestelmien monitorointia mahdollisen haitallisen toiminnan tunnistamiseksi.
6. Seuratkaa uhkatilanteen kehittymistä ja tehkää oma riskiarvio PHP-haavoittuvuuden vaikutuksista järjestelmiinne - vaihtoehtona myös haavoittuvien järjestelmien eristäminen verkosta ennen ohjelmistokorjausten asentamista omaan riskiarvioon pohjautuen.

Erilaisissa julkisissa lähteissä on esitetty useita haavoittuvuuksien hyväksikäytön rajoittavia toimenpiteitä, mutta nämä eivät kuitenkaan täysin poista uhkaa, joten korjaava ohjelmistoversio tai valmistajan esittämät rajoituskeinot tulee ottaa myös käyttöön heti niiden julkaisun jälkeen.

Lisätietoja

• Security advisory: Critical remote code execution vulnerabilities (PHP, englanniksi) Ulkoinen verkkopalvelu.
• RCE via OOM corruption: GHSA-w8hw-w9fx-j79w (PHP, englanniksi) Ulkoinen verkkopalvelu.
• RCE via stale global state: GHSA-6wmf-4rv5-p3rp (PHP, englanniksi) Ulkoinen verkkopalvelu.