Haavoittuvuudet, joita seurataan nimillä CVE-2026-109618 ja CVE-2026-109619, voivat antaa hyökkääjille mahdollisuuden suorittaa haitallista koodia etänä haavoittuvilla palvelimilla ilman todennusta. PHP-tietoturvaryhmä julkaisi päivityksiä 21. lokakuuta 2026 klo 13.40 UTC. Näiden päivitysten täydelliset tekniset tiedot sekä asianomaiset ja kiinteät versiot ovat julkaisun mukana.
PHP:n turvallisuusneuvonta löytyy osoitteesta https://www.php.net/archive/2026.php
Organisaatioiden olisi tunnistettava PHP-pohjaiset sovelluksensa, koordinoitava toimintaansa hosting- ja palveluntarjoajien kanssa ja sovellettava julkaistuja tietoturvapäivityksiä. Etusijalle asetetaan Internetiin suunnatut järjestelmät. Jos välitön korjaaminen ei ole mahdollista, on harkittava altistuneiden sovellusten eristämistä julkisista verkoista, kunnes korjauksia voidaan soveltaa.
Monet kaupalliset ja avoimen lähdekoodin tuotteet tukeutuvat taustalla PHP: hen. Tämän seurauksena nämä haavoittuvuudet voivat vaikuttaa joihinkin, vaikka he eivät näytä käyttävän PHP: tä suoraan. Suosittelemme tarkistamaan NCSC-NL GitHub -tietokannasta tietoja kolmannen osapuolen ohjelmistoista, jotka sisältävät PHP:n ja joihin saattaa kohdistua vaikutuksia: https://github.com/NCSC-NL/php2shell
Viimeisimmät CSIRT-verkoston jäsenten julkaisemat ohjeet löytyvät niiden virallisista viestintäkanavista. Organisaatiot voivat myös viitata CERT-EU:n antamiin ohjeisiin. ENISA ylläpitää neuvontakokoelmaa osoitteessa https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
ENISA ja kaikki asiaankuuluvat EU:n toimijat seuraavat edelleen tätä uhkaa edistääkseen yleistä tilannetietoisuutta unionin tasolla.
EU:n politiikka
Organisaatioiden olisi lisäksi oltava tietoisia siitä, että 11. syyskuuta 2026 alkaen laitteisto- ja ohjelmistotuotteiden valmistajien on raportoitava aktiivisesti hyödynnetyistä haavoittuvuuksista luottoluokituslaitosten keskitetyn raportointialustan kautta asetuksen (EU) 2024/2847 (kyberresilienssisäädös) mukaisesti. Lisätietoja on saatavilla osoitteessa https://digital-strategy.ec.europa.eu/en/policies/cra-reporting ja https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp.
Kyberresilienssisäädöksen tärkeimpiä kyberturvallisuusvaatimuksia sovelletaan 11. joulukuuta 2027 alkaen. Ne edellyttävät, että laitteisto- ja ohjelmistotuotteiden, jäljempänä ’digitaalisia elementtejä sisältävät tuotteet’, valmistajat toteuttavat sisäänrakennetun tietoturvan ja varmistavat turvallisuustuen tällaisten tuotteiden elinkaaren aikana, mukaan lukien haavoittuvuuksien korjaaminen viipymättä.
Last update
22 lokakuuta 2026