PHP-ohjelmistossa paha haavoittuvuus havaittu

janti

janti

Moderaattori
Ylläpitäjä

Critical Vulnerabilities in PHP​

"CERT-EU strongly recommends identifying PHP-based applications and preparing to patch as soon as fixed versions become available. Where immediate remediation is not feasible, organisations should consider isolating internet-facing applications from public networks until a fix can be applied."

cert.europa.eu

Critical Vulnerabilities in PHP

Critical Vulnerabilities in PHP
cert.europa.eu cert.europa.eu

Valtio ajaa sivuja alas
valtori.fi

Verkkopalvelujen PHP-ohjelmiston haavoittuvuudet selvityksessä

Erittäin laajalti käytössä olevasta verkkopalvelujen toteuttamiseen käytetystä PHP-ohjelmistosta on löydetty kaksi kriittistä haavoittuvuutta, joihin ei vielä ole julkaistu korjaavia päivityksiä. Kyberturvallisuuskeskus tiedotti asiasta aamupäivällä 21.10.2026.
valtori.fi valtori.fi
 
fraatti sanoi:
Minkä vuoksi korjausta ei tehty kaikessa rauhassa ja vasta sitten mainittu asiasta?
Klikkaa laajentaaksesi...

Näin juuri on toimittu. Mistä olet saanut käsityksen että korjausta ei tehty kaikessa rauhassa? Korjauksen julkaisu tämän "kaaoksen" aiheutti.

On 20 October 2026, the PHP project announced an upcoming security release addressing two critical vulnerabilities in PHP [1]. Public reports indicated that these vulnerabilities could lead to remote code execution [2,3].

The PHP team released the fixes today, 21 October 2026 at 13:30 UTC, in PHP versions 8.5.12, 8.4.27, 8.3.36 and 8.2.35 [4]. Both vulnerabilities can allow unauthenticated remote code execution. Technical details are now being discussed publicly, and initial proofs of concept (PoCs) have begun to circulate. This raises the likelihood that attackers are already exploiting the vulnerabilities.
 
Arisoft sanoi:
Näin juuri on toimittu. Mistä olet saanut käsityksen että korjausta ei tehty kaikessa rauhassa? Korjauksen julkaisu tämän "kaaoksen" aiheutti.

On 20 October 2026, the PHP project announced an upcoming security release addressing two critical vulnerabilities in PHP [1]. Public reports indicated that these vulnerabilities could lead to remote code execution [2,3].

The PHP team released the fixes today, 21 October 2026 at 13:30 UTC, in PHP versions 8.5.12, 8.4.27, 8.3.36 and 8.2.35 [4]. Both vulnerabilities can allow unauthenticated remote code execution. Technical details are now being discussed publicly, and initial proofs of concept (PoCs) have begun to circulate. This raises the likelihood that attackers are already exploiting the vulnerabilities.
Klikkaa laajentaaksesi...
Minä sain tälläisen vastuksen kysymykseen. En tiedä mikä pitää paikkansa.

Alkuperäinen suunnitelma oli “korjaus ensin”. Haavoittuvuuksia (CVE-2026-109618 ja -109619, lempinimeltään “PHP2Shell”) käsiteltiin koordinoidun julkistamisen periaatteella. Tiedot ja PHP:n korjaukset oli tarkoitus julkaista samaan aikaan torstaina embargon päättyessä. Embargon aikana muun muassa Linux-jakelut ja tietoturvayhtiöt valmistelevat omia paketteja ja suojauksiaan hiljaisuudessa, jotta päivitykset ovat kaikkien saatavilla heti, kun asia tulee julki.

Sitten tieto vuoti. Hacker Newsiin ilmestyi viesti, joka on sittemmin poistettu. Siinä väitettiin, että kaksi kriittistä PHP:n etäsuoritushaavoittuvuutta julkistetaan pian. Tietoturvayhtiö watchTowr vahvisti tämän jälkeen, että haavoittuvuudet ovat todellisia ja että tietoa oli vuotanut ennen sovittua ajankohtaa.

Vuodon jälkeen PHP-tiimi aikaisti korjausta. Tiimi ilmoitti tiistai-iltana tulevasta kriittisestä tietoturvajulkaisusta ja siirsi korjausten julkaisun keskiviikolle klo 14:00 UTC. Ennakkoilmoitus ilman teknisiä yksityiskohtia oli tässä tilanteessa järkevä ratkaisu. Kun vakavuus ja aikataulu olivat jo julkisia, hyökkääjät tiesivät, paljonko aikaa oli jäljellä. Ylläpitäjät taas pystyivät inventoimaan palvelimensa ja olemaan valmiina päivittämään. Teknisiä tietoja, haavoittuvia versioita ja korjattuja julkaisuja PHP ei kertonut etukäteen, vaan lupasi ne vasta päivitysten mukana.

Kaikkea ei kuitenkaan ehditty pelastaa. Raporttien mukaan hyökkääjät käyttävät jo hyväkseen ainakin yhtä haavoittuvuuksista, koska tiedot vuotivat ennen korjauksia. Riski ei myöskään poistu heti korjausten julkaisun jälkeen. Hyökkääjät tutkivat korjauksen nopeasti ja alkavat usein jo vuorokauden sisällä iskeä palvelimiin, joita ei ole päivitetty.


Lyhyesti: ongelma ei ollut se, että asiasta kerrottiin ennen korjausta. Joku rikkoi embargon, ja PHP-tiimi reagoi siihen kiirehtimällä korjausta ja varoittamalla ylläpitäjiä. Jos ylläpidät itse PHP:tä ajavaa palvelinta, se kannattaa päivittää nyt. Vaarassa ovat käytännössä kaikki web-pyyntöjä palvelevat asennukset, kuten PHP-FPM, Apache mod_php:n kanssa, php-cgi, FrankenPHP ja LiteSpeed.
 
Arisoft sanoi:
Tarkennatko milloin?
Klikkaa laajentaaksesi...
Haavoittuvuus julkaistiin 20.10. illalla ja korjaus 21.10. iltapäivällä/illalla. Kummastakaan minulla ei ole tarkkaa ajankohtaa.

E: ehkä haavoittuvuuden osalta pitää sanoa "tuli julki" eikä "julkaistiin", mutta ainakin eu-cert -sivuston mukaan julkistettiin 20.10.:

On 20 October 2026, the PHP project announced an upcoming security release addressing two critical vulnerabilities
Klikkaa laajentaaksesi...
 
Monikohan tuossa korjauksessaan myöhästyy => sivusto rikotaan ja valjastetaan ihan muuhun käyttöön. Tai koska tuo mahdollistaa vieraan koodin ajamisen, niin tiedä vaikka omistaja menettäisi sivustonsa adminin ihan kokonaan, niin paikkaappas siinä sitten. Tai ehkä karmeimmillaan sivustolla ei tapahdu mitään näkyvää, vaikka sinne onkin ujutettu haitallista koodia ja näin tuo haitake pääsee tekemään sitä omaa tuhoaan hiljaisesti taustalla.

Ehkäpä turvallisinta onkin vaan ihan suosiolla pudottaa sivut alas, asentaa koko softa uudelleen puhtaalta medialta ja paikata tuo PHP siitä ennen kuin tuo sivunsa jälleen julkisuuteen.
 
Joo, varoitus tuli jo paljon ennen julkaisua ja sivuilla oli vaan tieto "olemme julkaisemassa" tyyliin. Fixi tuli Suomen aikaa jotain viiden paikkeilla. Sen takiahan mm. Valtori ajoi kaikki alas päiväksi
 
Sinun täytyy kirjautua sisään tai rekisteröityä voidaksesi vastata viestiin.
Takaisin
Ylös Bottom