Kriittiset PHP2Shell-haavoittuvuudet vaativat välittömiä päivityksiä palvelinympäristöihin
PHP-ohjelmointikielestä löytyneet kriittiset haavoittuvuudet mahdollistavat luvattoman koodin suorittamisen palvelimilla. Korjaukset julkaistiin 21. lokakuuta 2026.
PHP-ohjelmointikielen ytimestä on paljastunut kaksi kriittistä haavoittuvuutta, jotka mahdollistavat hyökkääjille etäkoodin suorittamisen ilman tunnistautumista. PHP2Shell-nimen saaneet aukot sijaitsevat ohjelmiston ytimessä, mikä tarkoittaa, etteivät perinteiset verkkosivutason suojaukset riitä estämään hyökkäyksiä.
Haavoittuvuudet löydettiin tekoälyavusteisen tutkimuksen avulla, ja niistä raportoivat useat tietoturvayhtiöt. Korjaavat päivitykset versioihin 8.5.12, 8.4.27, 8.3.36 ja 8.2.35 julkaistiin 21. lokakuuta. Asiantuntijoiden mukaan organisaatioiden on päivitysten lisäksi tutkittava, onko järjestelmiä ehditty hyödyntää ennen paikkausten asentamista.
Haavoittuvuuden vakavuus riippuu palvelimen konfiguraatiosta, mutta erityisesti yritysten ja julkisia palveluita tarjoavien tahojen on arvioitava riskinsä. Erityistä huomiota tulisi kiinnittää vanhentuneisiin PHP-asennuksiin, jotka eivät välttämättä saa enää tavanomaisia päivityksiä. IT-turvallisuusammattilaiset korostavat, että pelkkä päivitysten asentaminen ei riitä, vaan järjestelmien eheys on todennettava ja mahdolliset murtoyritykset tutkittava huolellisesti.