Haavatavused, mida jälgitakse kui CVE-2026-109618 ja CVE-2026-109619, võivad võimaldada ründajatel pahatahtlikku koodi haavatavates serverites ilma autentimiseta kaugteel täita. PHP turvameeskond väljastas uuendused 21. oktoobril 2026 kell 13.40 UTC. Väljalaskega kaasnevad nende uuenduste täielikud tehnilised üksikasjad, samuti mõjutatud ja fikseeritud versioonid.
Rahvatervise programmi julgeolekualane nõustamine on kättesaadav aadressil https://www.php.net/archive/2026.php.
Organisatsioonid peaksid tuvastama oma PHP-põhised rakendused, koordineerima oma tegevust veebimajutus- ja teenusepakkujatega ning rakendama välja antud turvauuendusi. Seada esikohale internetile suunatud süsteemid. Kui kohene parandamine ei ole võimalik, kaaluge avatud rakenduste eraldamist avalikest võrkudest kuni paranduste tegemiseni.
Paljud kaubanduslikud ja avatud lähtekoodiga tooted tuginevad taustal PHP-le. Selle tulemusena võivad mõned neist haavatavustest mõjutada, isegi kui nad ei kasuta otseselt PHP-d. Soovitame kontrollida NCSC-NL GitHubi hoidlast teavet kolmanda osapoole tarkvara kohta, mis sisaldab PHPd ja võib olla mõjutatud: https://github.com/NCSC-NL/php2shell
CSIRTide võrgustiku liikmete avaldatud viimased nõuanded on kättesaadavad nende asjakohastes ametlikes suhtluskanalites. Organisatsioonid võivad viidata ka CERT-EU suunistele. ENISA haldab nõuandvat kogu aadressil https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
ENISA ja kõik asjaomased ELi osalejad jätkavad selle ohu jälgimist, et aidata kaasa üldisele olukorrateadlikkusele liidu tasandil.
ELi poliitika
Organisatsioonid peaksid olema teadlikud ka sellest, et alates 11. septembrist 2026 peavad riist- ja tarkvaratoodete tootjad teatama aktiivselt ärakasutatavatest nõrkustest reitinguagentuuride ühtse aruandlusplatvormi kaudu kooskõlas määrusega (EL) 2024/2847 (küberkerksuse määrus). Lisateave on kättesaadav järgmistel aadressidel: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting ja https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber- crisis-management/single-reporting-platform-srp
Küberkerksuse määruse peamisi küberturvalisuse nõudeid hakatakse kohaldama alates 11. detsembrist 2027. Nendega nõutakse riist- ja tarkvaratoodete (edaspidi „digielemente sisaldavad tooted“) tootjatelt sisseprojekteeritud turbe rakendamist ja turvatoe tagamist selliste toodete olelusringi jooksul, sealhulgas nõrkuste viivitamatut kõrvaldamist.
Last update
22 oktoober 2026