Kriittisiä haavoittuvuuksia PHP:ssa
PHP on julkaissut tiedotteen sivuillaan tänään julkaistavista kahdesta kriittisestä haavoittuvuudesta. Haavoittuvuudet korjaava ohjelmistopäivitys on valmistajan mukaan tulossa saataville keskiviikkona 21.10.2026 klo 17:00 (14:00 UTC). Korjattu ohjelmistoversio tulee ottaa käyttöön mahdollisimman pian sen julkaisun jälkeen kaikissa ympäristöissä, joissa PHP on käytössä.
Haavoittuvuuden yhteenveto
- Haavoittuvuus: 37/2026
- Tunnisteet: CVE-2026-109618, CVE-2026-109619
- Vakavuus: 9.2 (CVSS 4.0, kriittinen)
- Kohde: PHP
- Vaikutus: Tarkentuu myöhemmin
- Korjaustoimet: Päivitä PHP haavoittuvuudet korjaavaan versioon viipymättä julkaisun jälkeen
Mistä on kysymys?
Erittäin laajalti käytössä olevasta verkkopalvelujen toteuttamiseen käytetystä PHP-ohjelmistosta on löydetty kaksi kriittistä haavoittuvuutta, joihin ei vielä ole julkaistu korjaavia päivityksiä. Valmistaja on julkaissut illalla 20.10.2026 haavoittuvuuksista ennakkotiedotteen, jonka pohjalta tulee varautua ottamaan päivitykset käyttöön viipymättä heti niiden julkaisun jälkeen.
Tällä hetkellä ei ole tiedossa, että haavoittuvuuksia käytettäisiin aktiivisesti hyväksi mutta tilanne saattaa muuttua nopeasti.
Mitä voin tehdä?
Päivitä mahdollisimman pian korjauksen julkaisun jälkeen haavoittuvat ohjelmistot uusimpaan korjattuun PHP-versioon valmistajan ohjeiden mukaisesti. Haavoittuvuuksien julkaisu tapahtuu valmistajan tiedotteen mukaan keskiviikkona 21.10.2026 klo 17:00 (14:00 UTC) tai aikaisemmin mikäli tilanteeseen tulee jotain merkittäviä muutoksia.
Organisaatioiden kannattaa ennakolta varautua suorittamaan päivitykset normaalien päivityssyklien ulkopuolella kiireellisesti ja seurata eri ohjelmistovalmistajien tiedotteita, joiden tuotteissa käytetään PHP:ta. Jos ympäristön päivitys ei ole mahdollista haavoittuvuuden julkaisun jälkeen, tulee valmistajan esittämät haavoittuvuuden hyödyntämisen rajoittamiskeinot ottaa käyttöön viipymättä.