21. oktoobril 2026 avaldas PHP meeskond parandused kahele kriitilisele haavatavusele, mis said nimeks PHP2Shell (CVE-2026-109618 ja CVE-2026-109619). Need võimaldavad ründajal käivitada serveris oma koodi ilma kasutajanime ja paroolita. PHP-l töötab suur osa internetist, sealhulgas WordPress, WooCommerce, Drupal ja Joomla.
Miks räägitakse 14 aastast?
Probleemne kood lisandus PHP-sse versiooniga 5.4 aastal 2012. Üks viga leiti PHP auditis juba 2024. aastal, kuid seda peeti ärakasutamatuks ja parandust ei tehtud. 2026. aastal leidsid turvauurijad tehisintellekti abil viisi vea ärakasutamiseks. Rünnakukatseid nähti juba enne ametlikku avalikustamist.
Keda see puudutab?
- Kõiki lehti, mis töötavad PHP versioonidel 5.4 kuni 8.5 ja pole veel uuendatud.
- Eriti neid, kus kasutatakse vanu PHP versioone (7.4, 8.0, 8.1), millele ametlikke uuendusi enam ei tehta.
Mida teha kohe
- Kontrolli PHP versiooni. Parandatud versioonid on 8.2.35, 8.3.36, 8.4.27 ja 8.5.12. Versiooni näed majutuse halduspaneelist või WordPressis menüüst Tööriistad → Saidi tervis.
- Kirjuta majutajale. Küsi, kas server on paigatud. Suuremad majutajad on uuendused juba paigaldanud.
- Vana PHP puhul plaani üleminek. Kui sait töötab PHP 7.x peal, on see nüüd tõsine risk. Üleminek uuemale versioonile nõuab teemade ja pluginate kontrolli.
- Kontrolli logisid. Turvauurijad soovitavad otsida kahtlast tegevust alates 17. oktoobrist.
Mida see õpetab ettevõtjale?
Koduleht ei ole ühekordne ost. Tarkvara, millel see töötab, vajab pidevat hooldust ning keegi peab vastutama, et uuendused tehakse õigel ajal. Tehisintellekt kiirendab nüüd nii vigade leidmist kui ka rünnakuid, seega aeg avalikustamisest rünnakuni lüheneb.
Meie hoolduspaketi klientide serverid kontrolliti ja paigati kohe pärast paranduste ilmumist. Kui sa ei tea, millise PHP versiooni peal sinu sait töötab, vaata meie WordPressi hooldust või küsi tasuta kontrolli.