PHP:n kriittiset haavoittuvuudet: verkkosivujen päivitystä ei kannata siirtää
Tiivistelmä
Kyberturvallisuuskeskus varoittaa kahdesta kriittisestä PHP-haavoittuvuudesta. Jos verkkosivusi käyttää PHP:tä, pyydä ylläpitäjältä vahvistus korjauspäivityksestä. Pelkkä WordPressin tai lisäosien päivitys ei välttämättä riitä, sillä korjaus tarvitaan palvelimen PHP-ohjelmistoon.
Yrityksen verkkosivut voivat näyttää täysin normaaleilta, vaikka niiden taustalla oleva ohjelmisto tarvitsisi kiireellisen tietoturvapäivityksen. Kyberturvallisuuskeskus julkaisi 21.10.2026 tiedotteen kahdesta kriittisestä PHP-haavoittuvuudesta. Jos sivustosi tai jokin muu verkkopalvelusi käyttää PHP:tä, nyt on oikea hetki varmistaa ylläpitäjältä, että korjaukset on otettu käyttöön.
PHP on ohjelmointikieli, jota käytetään monien verkkosivujen ja sovellusten palvelinpuolella. Esimerkiksi WordPress käyttää PHP:tä. Siksi tiedote koskettaa myös monia pk-yrityksiä, vaikka PHP ei olisi yrittäjälle ennestään tuttu termi. Kaikki verkkosivut eivät kuitenkaan käytä PHP:tä, joten oman palvelun toteutustapa kannattaa ensin selvittää.
Kyberturvallisuuskeskuksen mukaan haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 voivat mahdollistaa etäkoodin suorittamisen ilman tunnistautumista. Käytännössä hyökkääjä saattaa onnistua suorittamaan palvelimella haluamiaan komentoja ja ottamaan sen hallintaansa. Vakavuusluokitus on kriittinen, 9,2 asteikolla 0:sta 10:een.
Tiedote kattaa kaikki PHP-asennukset, myös PHP-FPM:n, Apachen mod_php-moduulin, php-cgi:n, FrankenPHP:n ja LiteSpeedin. Tiedotteen päivityshetkellä riski oli suurin mod_php-asennuksissa, joihin oli jo tarjolla toimiva hyväksikäyttömenetelmä. Aktiivisesta hyväksikäytöstä ei tuolloin ollut tietoa. Se ei kuitenkaan tarkoita, että päivitystä olisi turvallista lykätä.
Pelkkä WordPressin tai lisäosien päivittäminen ei välttämättä korjaa tätä ongelmaa. Kyse on PHP:stä eli palvelimella toimivasta ohjelmistosta. Sen päivityksistä vastaa usein webhotellin tarjoaja tai muu tekninen ylläpitäjä. Sisällön päivittäminen ja palvelimen tietoturvapäivitykset ovat eri asioita.
Tiedotteessa korjatuiksi PHP-versioiksi nimetään 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Linux-jakelun tai pitkäaikaistuen toimittajan paketti voi sisältää korjauksen myös takaisinsovitettuna. Siksi pelkkä versionumero ei kaikissa ympäristöissä kerro koko totuutta: pyydä ylläpitäjältä vahvistus nimenomaan näiden kahden haavoittuvuuden korjaamisesta.
PHP 8.1 ja sitä vanhemmat versiot eivät enää saa normaaleja päivityksiä PHP-projektilta. Joillekin vanhoille versioille on julkaistu erillisiä lähdekooditason korjauksia, ja osa toimittajista tarjoaa pitkäaikaistukea. Vanhan ympäristön jatkamista ei silti kannata jättää oletuksen varaan. Selvitä ylläpitäjän kanssa sekä tämän haavoittuvuuden korjaus että siirtyminen tuettuun versioon.
Jos et tiedä, mistä aloittaa, lähetä ylläpitäjälle esimerkiksi tämä viesti: Käyttääkö sivustomme PHP:tä, ja onko haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 korjattu? Milloin päivitys on tehty ja miten sen käyttöönotto on varmistettu?
Päivityksen yhteydessä kannattaa tarkistaa, että palautettava varmuuskopio on olemassa ja että sivuston tärkeimmät toiminnot toimivat myös korjauksen jälkeen. Testaa ainakin yhteydenottolomakkeet, kirjautuminen ja mahdollinen verkkokaupan ostopolku. Varmuuskopio ei korvaa korjauspäivitystä, mutta se auttaa palautumisessa, jos päivitys aiheuttaa yhteensopivuusongelmia.
Jos päivitys ei onnistu heti, ylläpitäjän tulee arvioida riski ja ottaa käyttöön valmistajan ajantasaiset rajoituskeinot. Kyberturvallisuuskeskus suosittelee myös internetiin näkyvien PHP-järjestelmien tunnistamista ja valvonnan tehostamista. Tilapäisiä suojauksia ei pidä tulkita korjauspäivityksen korvikkeeksi.
Verkkosivujen ylläpito ei ole vain uusien kuvien ja tekstien lisäämistä. Siihen kuuluvat myös ohjelmistojen päivitykset, varmuuskopiot ja selkeä vastuu siitä, kuka reagoi kiireelliseen tietoturvatiedotteeseen. Yrityksesi kannalta tärkein kysymys on lopulta yksinkertainen: kuka huolehtii siitä, että sivusi pysyvät turvallisina myös julkaisun jälkeen?
Lähde: Kyberturvallisuuskeskus: Kriittisiä haavoittuvuuksia PHP:ssa, haavoittuvuus 37/2026, julkaistu 21.10.2026 ja päivitetty 21.10.2026 klo 17.58. Tiedot ja korjatut versionumerot perustuvat tähän tiedotteeseen. Tarkista uusimmat ohjeet alkuperäisestä lähteestä ja PHP:n virallisesta tietoturvatiedotteesta.