Oktoobris avalikustati PHP-s kaks kriitilist turvanõrkust, mis said ühise nime PHP2Shell (CVE-2026-109618 ja CVE-2026-109619). Mõlema raskusaste on CVSS-skaalal 9,2 punkti kümnest. Need lubavad ründajal saata serverile spetsiaalselt koostatud päringu ja käivitada seal oma koodi, ilma et tal oleks vaja kasutajakontot või parooli.
Esimesi rünnakukatseid nähti juba enne paranduste avaldamist ja pärast seda otsitakse internetist massiliselt haavatavaid servereid. Tegemist ei ole teoreetilise ohuga.
Keda see puudutab?
PHP-l töötab suur osa veebist, sealhulgas WordPress, WooCommerce ja paljud teised sisuhaldussüsteemid. Ohus on kõik PHP versioonid, mis on vanemad kui parandatud väljalasked, sõltumata sellest, millist pluginat või teemat leht kasutab, sest viga on PHP enda sees.
Millised versioonid on parandatud?
PHP avaldas 21. oktoobril parandused versioonides 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemad ametlikku parandust ei saa, nii et vana versiooni kasutav leht vajab majutaja enda paigatud versiooni või üleminekut uuemale PHP-le.
Probleem on suur: hinnanguliselt üle 70% PHP paigaldustest töötab juba versioonidel, mida enam ei toetata.
Mida teha kohe
- Küsige oma majutajalt, millist PHP versiooni teie leht kasutab ja kas see on juba paigatud.
- Kui kasutate PHP 8.1 või vanemat, planeerige üleminek toetatud versioonile. Enamasti muutub leht sellega ka kiiremaks.
- Kui uuendamine viibib, saab majutaja ajutiselt välja lülitada failide üleslaadimise jälgimise (session.upload_progress), mida üks vigadest ära kasutab.
- Pärast uuendamist tuleb PHP ja veebiserver taaskäivitada, muidu jääb vana versioon edasi tööle.
Caliora klientidele
Kui teie leht asub Caliora majutuses ja teil on küsimusi, võtke meiega julgelt ühendust. Kui leht on mujal ja te pole kindel, kas see on kaitstud, kirjutage meile ja vaatame selle koos üle.
