PHP-s, millel töötab enamik ettevõtete veebilehti ja e-poode, leiti kaks kriitilist turvanõrkust, mille parandused avaldati 21. oktoobril. Nende kaudu saab ründaja serveris oma koodi käivitada ilma sisse logimata. Parandus on olemas, kuid selle peab paigaldama serveri haldaja.
Uuendatud 22. oktoobril: lisatud ründekatsete värskem seis ja RIA hinnang.
Mis juhtus?
PHP arendajad avaldasid 21. oktoobril kell 17 Eesti aja järgi turvateated ja parandatud versioonid. Turvanõrkuste tähised on CVE-2026-109618 ja CVE-2026-109619. Meedias kutsutakse neid ühise nimega PHP2Shell.
PHP turvameeskond hindas mõlema raskusastmeks 9,2 punkti 10-st (CVSS v4.0). USA haavatavuste andmebaas NVD annab neile eraldi hinnangu 9,8 vanema skaala ehk CVSS v3.1 järgi. Kriitilised on need mõlema hinnangu järgi.
Parandused pidid ilmuma alles neljapäeval, 22. oktoobril. Kuid 20. oktoobri hommikul postitas keegi foorumisse Hacker News anonüümse teate kahe kriitilise vea kohta. Postitus eemaldati, kuid kuvatõmmised levisid kiiresti sotsiaalmeedias. Seetõttu tõi PHP väljalaske päeva võrra ettepoole. RIA sõnul hakkasid esimesed hoiatused nende vigade kohta liikuma juba augustis.
Miks see on ohtlik?
Mõlemad vead on PHP enda mäluhalduses. Esimene ilmneb siis, kui PHP-l saab päringu töötlemise ajal mälu otsa ja töö katkeb poole pealt. Teise puhul jäävad ühe päringu andmed mällu alles ning järgmine päring saab neid kasutada. Mõlemal juhul saab ründaja eriliselt koostatud päringuga serveris käske käivitada. Teise vea kaudu võib ta lugeda ka serveri mälust paroole, pääsulubasid ja API-võtmeid.
Ohtlikuks teevad need kolm asjaolu. Esiteks ei vaja ründaja kasutajakontot ega parooli. Teiseks töötab PHP teatel üks näidisrünne mõnes serveriseadistuses enne, kui veebilehe enda kood üldse käivitub. Kolmandaks on PHP väga levinud: W3Techsi andmetel kasutab seda üle kahe kolmandiku veebilehtedest, mille serveripoolne programmeerimiskeel on teada.
Kui rünnak õnnestub, saab ründaja serveris samad õigused, mis on veebilehel endal. Nii saab ta muuta lehe sisu, lugeda andmebaasi ja kasutada serverit edasisteks rünneteks.
Keda see puudutab?
Kui teie veebileht, e-pood või kliendiportaal on tehtud WordPressis, WooCommerce’is, Joomlas või Drupalis, töötab see PHP-ga. PHP sõnul on ohus kõik PHP paigaldused, mis teenindavad veebipäringuid, sõltumata sellest, kuidas PHP on veebiserveriga ühendatud. Huntressi andmetel näitasid Wizi teadlased ründe toimimist WordPressi, Drupali ja Joomla vastu.
RIA hinnangul võib Eestis olla haavatavaid servereid kümneid tuhandeid. Postimehe andmetel sulgesid mõned Eesti asutused oma veebilehed ettevaatusabinõuna ajutiselt. See ei tähenda, et neisse oleks sisse murtud. ERR-i andmetel peatas haridusministeerium ajutiselt õpikeskkonna Moodle ja Rahvusarhiivi töös oli häireid.
Oluline: turvanõrkus on PHP-s, mitte WordPressis. WordPressi, teema või pluginate uuendamine seda ei paranda. Jagatud majutuse puhul uuendab PHP-d majutusteenuse pakkuja, mitte veebilehe omanik.
Millised PHP versioonid on parandatud?
| PHP haru | Parandatud versioon |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1, 8.0 ja 7.4 | Ametlikku väljalaset ei tule. PHP avaldas lähtekoodi parandused, mida Linuxi distributsioonid saavad kasutada. |
| 7.3 ja vanemad | PHP projekt parandust ei avalda. |
Haavatavad on kõik versioonid, mis on oma harus tabelis toodust vanemad. Kuna Linuxi distributsioonid said parandused enne avalikustamist kätte, võib majutusteenuse pakkuja kasutada paketti, mille versiooninumber on teine, kuid parandus on sees. Sel juhul küsige, kas pakett sisaldab parandust CVE-2026-109618 ja CVE-2026-109619 vastu.
PHP 8.2 tugi lõpeb 31. detsembril 2026. Kui teie leht töötab versioonil 8.2 või vanemal, tasub üleminekut planeerida juba praegu.
Kas turvanõrkusi juba kasutatakse ära?
- oktoobri seisuga on andmed vastukäivad. Cloudflare lisas oma veebitulemüüri reeglid umbes üheksa tundi enne avalikustamist ja nägi seejärel ründeliiklust oma klientide vastu. Need reeglid kehtivad automaatselt ka tasuta paketi kasutajatele. Turvaettevõte watchTowr teatab samuti aktiivsetest ründekatsetest.
Help Net Security vahendab, et Amazoni püünisserver registreeris esimese katse juba 17. oktoobril, neli päeva enne avalikustamist. Amazoni enda teadet me ei leidnud. USA küberturbeagentuur CISA ei olnud 21. oktoobri seisuga neid oma aktiivselt ärakasutatud turvanõrkuste nimekirja (KEV) lisanud.
Prantsusmaa CERT-FR-i teada on mõne PHP seadistuse jaoks olemas kontseptsiooni tõendus, kuid kinnitatud ärakasutamisest ta ei teata. RIA ei ole Eestis ärakasutamist kinnitanud. RIA intsidentide käsitlemise osakonna juht Taavi Kupper ütles 22. oktoobril ERR-ile: „Tegemist ei ole kriisiga.“
Mida teha?
- Küsige majutusteenuse pakkujalt või IT-partnerilt kirjalikult, kas PHP on uuendatud. Parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35 või parandusega distributsioonipakett. Küsimuse võite saata nii: „Kas meie server on CVE-2026-109618 ja CVE-2026-109619 vastu paigatud ja millal PHP protsessid viimati taaskäivitati?“
- Kui haldate serverit ise, uuendage PHP ja taaskäivitage kõik PHP protsessid. Konteinerid tuleb Wordfence’i soovitusel ehitada uuesti uuendatud tõmmisest.
- Kui uuendus viibib, rakendage ajutised leevendusmeetmed. Üks neist on seadistada serveris
session.upload_progress.enabled = 0, mis lõpetab üleslaaditavate failide jälgimise, ja PHP seejärel taaskäivitada. Ülejäänud on loetletud PHP turvateates ja RIA blogis. PHP arendajate sõnul on täielik lahendus siiski ainult uuendamine. - Selgitage välja kõik PHP-d kasutavad süsteemid. Lisaks veebilehele võib PHP olla kliendiportaalis, sisevõrgu tööriistas või ostetud tootes. Näiteks Palo Alto teatel on mõjutatud kõik PAN-OS-i ja Panorama versioonid ning Fortinet ja Cisco kontrollivad oma tooteid. RIA soovitab alustada internetist ligipääsetavatest süsteemidest, hoida logid alles ja olla valmis süsteemi võrgust eemaldama.
- Kui teie PHP on 8.1 või vanem, leppige kokku üleminek toetatud versioonile. Seni soovitavad Ühendkuningriigi NCSC ja CERT-EU kaaluda uuendamatute süsteemide võrgust eemaldamist.
Veebitulemüür, näiteks Cloudflare, annab aega juurde, kuid serveri viga see ei paranda.
Kuidas oma veebilehte kontrollida?
PHP versiooni näete tavaliselt majutusteenuse halduspaneelist või WordPressi halduse saidi tervise vaatest (Site Health), jaotisest Info → Server. Võrrelge seda ülaltoodud tabeliga ja arvestage, et distributsiooni pakett võib kanda teist numbrit.
Meie tasuta PHP kontroll vaatab, millist PHP versiooni teie veebileht igale külastajale näitab, ega saada serverile ründeid. Paljud serverid peidavad oma versiooni, mis on hea tava, ja siis tuleb vastust küsida majutusteenuse pakkujalt.
Korduma kippuvad küsimused
Kas WordPressi uuendamisest piisab?
Ei. Viga on serveri tarkvaras, mille peal WordPress töötab, ja WordPressi automaatsed uuendused PHP-d ei uuenda.
Kas Cloudflare või muu veebitulemüür kaitseb?
Osaliselt. Cloudflare’i teatel muudavad ründajad oma päringuid, et reeglitest mööda pääseda. Tulemüür näeb ainult seda liiklust, mis sellest läbi käib, ja serveri viga jääb alles.
Kas uuendamine eemaldab ka võimaliku sissetungija?
Ei. Uuendus sulgeb ukse, kuid ei eemalda seda, mis on juba sees. Kui logides on kahtlaseid märke, lähtuge sellest, et server on üle võetud. Vahetage serveris hoitud paroolid ja API-võtmed ning teavitage CERT-EE-d aadressil cert@cert.ee.
Muud meie tasuta kontrollid, näiteks e-posti võltsimise kontroll, annavad vastuse alla minutiga.
Allikad
- PHP: Security advisory and releases, 20.–21. oktoober 2026
- PHP turvateade GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
- RIA: PHP-s tuvastati kaks kriitilist turvanõrkust
- ERR: Küberturbeekspert: PHP turvaaugud kriisi ei põhjustanud
- Cloudflare: PHP vulnerabilities and WAF protection
- CERT-FR: CERTFR-2026-ALE-014
Postituse koostamisel kasutasime tehisintellekti. Faktid põhinevad allpool loetletud allikatel ja on kirjutatud uudise ilmumise päeva teadmiste põhjal. Kuidas me tehisintellekti kasutame.
