PHP kriitilised turvanõrkused võimaldavad serveris koodi kaugkäivitamist: avaldati kiireloomulised turvauuendused

21. oktoobril 2026 avaldasid PHP arendajad erakorralised turvauuendused, millega parandati kaks kriitilist turvanõrkust: CVE-2026-109618 ja CVE-2026-109619. Mõlemad turvanõrkused võivad võimaldada ründajatel käivitada haavatavates veebiserverites suvalist koodi ilma autentimiseta.

Turvavead puudutavad PHP-d ennast, mitte üksikuid veebilehti või sisuhaldussüsteeme. Seetõttu on probleem eriti oluline veebimajutusteenuse pakkujatele ja serveriadministraatoritele, kelle hallatavates serverites töötavad WordPress, Joomla, Drupal, MODX ja teised PHP-põhised rakendused.

Milles seisnevad PHP kriitilised turvanõrkused?

Esimene turvanõrkus, CVE-2026-109618, on seotud mälukahjustusega olukorras, kus PHP-l saab kättesaadav mälu otsa (Out of Memory ehk OOM). Kui PHP-l lõpeb sisemiste päringuandmete töötlemise ajal vaba mälu, võivad mõned andmestruktuurid jääda osaliselt lähtestatud olekusse. Nende hilisem vabastamine võib põhjustada andmete ebakorrektset töötlemist ning teatud tingimustel luua võimaluse koodi kaugkäivitamiseks.

Teine turvanõrkus, CVE-2026-109619, on seotud PHP globaalse oleku ebakorrektse haldamisega. Teatud tingimustel võivad PHP sisemised andmestruktuurid säilitada viiteid juba vabastatud mälule. See võib põhjustada ebaturvalist mälukasutust ja potentsiaalselt võimaldada pahatahtliku koodi käivitamist.

PHP arendajate andmetel puudutavad turvanõrkused mitut serverikonfiguratsiooni, sealhulgas PHP-FPM-i, Apache mod_php moodulit, PHP-CGI-d, FrankenPHP-d ja LiteSpeedi. Eriti tõsiseks peetakse ohtu Apache mod_php puhul, kus teadlased demonstreerisid rünnakut, mida oli võimalik käivitada autentimata päringuga juba enne veebirakenduse koodi täitmise algust.

Milliseid PHP versioone tuleb uuendada?

21. oktoobril 2026 avaldas PHP arendusmeeskond järgmised turvaparandustega versioonid:

Vanemad PHP versiooniharud, sealhulgas PHP 8.1, 8.0, 7.4 ja 5.6, ei saa enam PHP arendusmeeskonnalt tavapäraseid turvauuendusi. Neid versioone kasutavad serverid vajavad erilist tähelepanu. Sõltuvalt operatsioonisüsteemist ja tarkvarapakettide tarnijast võivad turvaparandused olla saadaval ka vanematesse versioonidesse tagasi porditud parandustena (backport), isegi kui kuvatav PHP versiooninumber jääb samaks.

Seetõttu peaksid administraatorid kontrollima mitte ainult PHP versiooninumbrit, vaid ka seda, kas paigaldatud tarkvarapakett sisaldab vajalikke turvaparandusi.

Miks on need turvanõrkused veebimajutuse jaoks eriti ohtlikud?

Erinevalt üksikuid pistikprogramme, kujundusteemasid või sisuhaldussüsteeme puudutavatest turvanõrkustest võivad PHP turvavead ohustada käituskeskkonda, mida kasutavad korraga paljud veebilehed.

Täielikult uuendatud WordPressi, Joomla või MODX-i paigaldus ei taga automaatselt kaitset PHP interpretaatori turvanõrkuste eest. Isegi veebilehed, mille haldamisel järgitakse kõiki tavapäraseid turvanõudeid, võivad jääda haavatavaks, kui veebimajutuskeskkonnas kasutatakse turvavigadega tarkvara.

Eduka ründe korral võib koodi kaugkäivitamine võimaldada ründajal teha pahatahtlikke toiminguid mõjutatud PHP protsessi õigustes. Sõltuvalt serveri konfiguratsioonist võivad ohtu sattuda veebilehe failid, konfiguratsiooniandmed, andmebaasi kasutajatunnused ja paroolid ning muu tundlik teave, millele vastaval protsessil on juurdepääs.

Olukord muutub keerulisemaks jagatud veebimajutuse serverites, kuhu on korraga paigaldatud mitu PHP versiooni. Näiteks PHP 8.4 uuendamine ei kaitse veebilehti, mis töötavad endiselt haavatavas PHP 8.1 või PHP 7.4 keskkonnas.

Mida peaksid veebilehtede omanikud ja serveriadministraatorid tegema?

PHP arendusmeeskond on rõhutanud, et nende turvanõrkuste vastu puuduvad täielikud alternatiivsed kaitsemeetmed. Ainus usaldusväärne lahendus on asjakohaste turvauuenduste paigaldamine.

Veebilehtede omanikel ja serveriadministraatoritel on soovitatav teha järgmist:

• Teha kindlaks kõikide majutatud veebilehtede ja rakenduste kasutatavad PHP versioonid.
• Paigaldada toetatud PHP versiooniharude uusimad turvauuendused.
• Kontrollida, et paigaldatud PHP tarkvarapaketid sisaldaksid turvanõrkuste CVE-2026-109618 ja CVE-2026-109619 parandusi.
• Kontrollida aegunud PHP versioonidega töötavaid veebilehti ning hinnata olemasolevaid turvaparandusi või uuemale versioonile ülemineku võimalusi.
• Vajaduse korral taaskäivitada mõjutatud PHP teenused ja veenduda, et kasutusel oleksid parandatud versioonid.
• Vaadata üle serveri konfiguratsioon ning tagada, et PHP protsessid töötaksid asjakohaselt piiratud õigustega.

Vanemate rakenduste puhul, mida ei ole võimalik kohe toetatud PHP versioonile üle viia, võivad ajutiseks lahenduseks olla Linuxi distributsioonide turvaparandustega paketid, kuhu vajalikud parandused on tagasi porditud. Sellised lahendused nõuavad siiski põhjalikku kontrolli ja pidevat hooldust.

Veebilehe turvalisus algab veebimajutuse taristust

Nende kriitiliste PHP turvanõrkuste avastamine näitab, et veebilehe turvalisus sõltub palju enamast kui ainult sisuhaldussüsteemi, pistikprogrammide või kujundusteemade uuendamisest. Õigeaegset turvahooldust vajavad ka operatsioonisüsteem, PHP interpretaator, veebiserver ja muu serveritarkvara.

FairyHostingus mõistame turvalise ja töökindla veebimajutuskeskkonna olulisust, eriti veebilehtede ja rakenduste puhul, mis sõltuvad erinevatest PHP versioonidest.

Kui te ei ole kindel, kas teie veebileht kasutab turvalist PHP versiooni, aitavad FairyHostingu spetsialistid kontrollida veebimajutuskeskkonda, hinnata ühilduvust uuemate PHP versioonidega ning leida sobivad lahendused veebilehe turvalisuse parandamiseks.

Ametlik allikas: PHP arendusmeeskond – kriitilised koodi kaugkäivitamise turvanõrkused, 21. oktoober 2026.