PHP:n tietoturvatiimi on julkaissut tiedotteen sivuillaan tänään julkaistavista kahdesta kriittisestä haavoittuvuudesta, CVE-2026-109618 ja CVE-2026-109619, joiden vakavuusluokitus on erittäin korkea 9.2/10. Haavoittuvuudet voivat mahdollistaa hyökkääjän ohjelmakoodin suorittamisen palvelimella ilman kirjautumista. Onnistunut hyökkäys voi vaarantaa verkkosivuston, sen sisältämät tiedot ja tunnukset, sekä salasanat.
Tilanne edellyttää kiireellisiä suojaustoimia. Bittiguru Oy:n tietoturvatiimi työskentelee palvelinympäristöjen suojaamiseksi, ja päivitämme webhotellipalvelimien PHP-ympäristöt haavoittuvuuksien korjaamiseksi. PHP on muun muassa WordPressin, Joomlan ja monien muiden julkaisujärjestelmien käyttämä ohjelmointikieli.
PHP-päivitykset voivat aiheuttaa toimintahäiriöitä vanhoilla sivustoilla. Jos julkaisujärjestelmä, lisäosat, teema tai räätälöity ohjelmakoodi ei ole yhteensopiva päivitetyn PHP-version kanssa, sivusto voi lakata toimimasta kokonaan tai osittain. Häiriö voi näkyä esimerkiksi virheilmoituksena, tyhjänä sivuna tai lomakkeen tai verkkokaupan toimimattomuutena.
Haavoittuvan PHP-version käyttöä ei voida jatkaa pelkästään sivuston yhteensopivuuden vuoksi, jos se vaarantaa palvelun tietoturvan. Kyse on maailmanlaajuisesti käytettyyn ohjelmistoon liittyvästä tietoturvauhasta, joka koskee myös muita palveluntarjoajia. Haavoittuvuudet eivät johdu Bittiguru Oy:n toiminnasta.
PHP-projektin tukemat haarat ovat tällä hetkellä 8.2 – 8.5. Vanhemmat PHP 5.x ja 7.x eivät saa päivitystä.
Asiakkaidemme tulee ensisijaisesti varmistaa viipymättä yhdessä sivustonsa ylläpitäjän tai toteuttajan kanssa, että:
Vielä ei tiedetä, tarvitaanko hyväksikäyttöön tietty PHP-laajennus, sovelluksen toiminto, asetus tai ajotapa. Riskinä kuitenkin on että hyökkääjä voi suorittaa koodia PHP-prosessin oikeuksilla, jolloin prosessi pystyy lukemaan sovelluksen asetukset. Uhkana on myös tietokantatunnusten, API-avainten ja asiakastietojen vaarantuminen, sekä sivuston tietojen muuttaminen, webshell ja palvelun väärinkäyttö.
Murtautuja voi ottaa koko sivun ja sen sisältämät tiedot haltuunsa.
Bittiguru Oy vastaa webhotellipalvelun palvelinympäristön ylläpidosta. Asiakas vastaa omasta verkkosivustostaan ja sen ohjelmistojen ylläpidosta, tietoturvasta sekä yhteensopivuudesta palvelinympäristön kanssa. Sivuston julkaisujärjestelmän, lisäosien, teemojen ja räätälöidyn koodin päivittäminen tai korjaaminen ei kuulu Bittiguru Oy:n vastuulle webhotellipalveluntarjoajana, ellei sivuston ylläpidosta ole erikseen sovittu kanssamme.
Jos sivustonne toiminnassa ilmenee häiriöitä PHP-päivityksen jälkeen, ottakaa ensisijaisesti yhteyttä sivustonne ylläpitäjään tai toteuttajaan. Bittiguru Oy:n asiakaspalvelu auttaa webhotellin PHP-versiota ja palvelinympäristöä koskevissa kysymyksissä.