PHP-s tuvastati kaks kriitilist turvanõrkust: süsteemihaldajatel tuleb valmistuda turvauuenduseks

Turvanõrkuste tähised on CVE-2026-109618 ja CVE-2026-109619. Mõlema haavatavuse raskusaste on 9,2 punkti 10-st (CVSS v4.0 järgi). Praegu teadaoleva info põhjal võib haavatavuste ärakasutamine võimaldada autentimata ründajal käivitada haavatavas süsteemis mis tahes käske.

PHP turvameeskond on teatanud, et avaldab turvaparandused 21. oktoobril 2026 kell 17 Eesti aja järgi. Avalikkuses on juba ilmunud teateid haavatavuste võimalikest ärakasutamise viisidest.

PHP on laialdaselt kasutusel veebirakendustes, internetti ühendatud ja asutusesisestes infosüsteemides ning konteinerkeskkondades. Seetõttu kujutavad turvanõrkused endast olulist riski paljudele infosüsteemidele.

RIA soovitab teenusepakkujatel ja süsteemiadministraatoritel esimesel võimalusel tuvastada kõik PHP-d kasutavad süsteemid ning valmistuda turvaparanduste paigaldamiseks kohe pärast nende avaldamist. Kui süsteeme ei ole võimalik viivitamata uuendada, tuleb rakendada ajutisi leevendusmeetmeid.

Kuidas süsteeme kaitsta?

Turvanõrkuste kõrvaldamiseks tuleb uuendada PHP-d kasutavad süsteemid turvaparandustega versioonidele. Täpsed andmed mõjutatud ja parandatud versioonide kohta avaldatakse koos turvauuendusega.

Kuni turvaparanduste paigaldamiseni soovitab RIA rakendada järgmisi meetmeid:

• Tuvastage kõik PHP-d kasutavad süsteemid ja nende versioonid. Alustage internetist ligipääsetavatest süsteemidest. Kontrollige ka otse infosüsteemidesse paigaldatud PHP versioone, konteinerkeskkondi ning kolmandate osapoolte tooteid, mis kasutavad PHP-d.
• Kaaluge PHP Session Upload Progressi funktsiooni ajutist väljalülitamist. Võimaluse korral muutke PHP seadistusfailis (php.ini või .user.ini) järgmise sätte väärtust: session.upload_progress.enabled = Off Praegu teadaoleva info põhjal võib see takistada üht haavatavuse ärakasutamise viisi, kuid ei kõrvalda turvanõrkusi täielikult.
• Veenduge, et süsteemide logisid kogutakse ja säilitatakse. PHP-d kasutavate ja nendega seotud süsteemide logid peavad olema kättesaadavad, et vajaduse korral tuvastada kahtlasi päringuid ning võimalikke ründekatseid.

Kui tuvastate oma infosüsteemide vastu suunatud ründeid, olge valmis mõjutatud süsteeme isoleerima või ajutiselt internetist eemaldama.

Lisainfo ja turvauuendused:

• PHP ametlik teade kriitiliste turvanõrkuste kohta
• PHP uued versioonid ja paigaldusjuhised