Jos ylläpidät WordPress-, Drupal- tai Joomla-sivustoa, tarkista tänään yksi asia: millä PHP-versiolla palvelin toimii. PHP-projekti julkaisi keskiviikkona 21. lokakuuta kello 14 UTC eli kello 17 Suomen aikaa korjaukset kahteen kriittiseen haavoittuvuuteen. Niiden avulla kirjautumaton hyökkääjä voi ajaa omaa koodiaan palvelimella ja ottaa sen haltuunsa.
Korjatut versiot ovat PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Omalla palvelimella riittää yleensä päivitys jakelun paketinhallinnasta, sillä Linux-jakelut ja pitkän tuen toimittajat saivat korjaukset etukäteen. Jos sivusto on webhotellissa tai hallinnoidussa WordPress-palvelussa, kysy palveluntarjoajalta, onko PHP jo päivitetty. Moni on luultavasti jo hoitanut asian, mutta varmistukseen riittää yksi viesti.
Vanhat versiot ovat hankalampia. PHP 8.1 ja sitä vanhemmat eivät enää saa virallisia päivityksiä. PHP-projekti julkaisi versioille 7.4, 8.0 ja 8.1 lähdekooditason korjaukset, mutta ne pitää kääntää itse tai hakea toimittajalta takaisinsovitettuna pakettina. Varminta on siirtyä tuettuun versioon.
Jos päivitys viivästyy
PHP-tiimi listaa osittaisia suojakeinoja: muistirajan poisto (memory_limit = -1, mieluiten php_admin_value-asetuksella), pieni post_max_size-arvo (8M, tai 32M jos sivustolle ladataan tiedostoja) ja session.upload_progress.enabled = 0. Asetusten muuttamisen jälkeen kaikki PHP-prosessit pitää käynnistää uudelleen. Tiimin mukaan nämä eivät tee asennuksesta turvallista. Kyberturvallisuuskeskus neuvoo harkitsemaan haavoittuvien järjestelmien eristämistä verkosta, kunnes korjaus on asennettu.
“Täydellisiä suojakeinoja ei ole, päivittäminen on ainoa turvallinen vaihtoehto.”
70 prosenttia kertoo PHP:n suosiosta
Wiz otsikoi tutkimuksensa niin, että viat koskisivat 70:tä prosenttia internetistä. Luku johtaa harhaan. Se on PHP:n osuus kaikista verkkosivuista, eikä se kerro haavoittuvien sivujen määrää. W3Techsin mukaan PHP:tä käyttää 69,3 prosenttia niistä sivustoista, joiden palvelinpuolen kieli tiedetään. Haavoittuvien sivujen määrä riippuu siitä, kuinka nopeasti palvelimet päivitetään. BleepingComputerin mukaan VirusTotal arvioi, että verkossa näkyy yli 5,1 miljoonaa PHP-palvelinta.
Viat ovat PHP:n ytimessä eivätkä julkaisualustoissa. Kun pyyntö päättyy poikkeuksellisesti, esimerkiksi muistin loppuessa, PHP voi jättää muistin rikkinäiseen tilaan. CVE-2026-109618 liittyy muistin loppumisen käsittelyyn ja CVE-2026-109619 vanhentuneeseen tilaan, jota saman prosessin seuraava pyyntö voi käyttää. Molemmat saivat CVSS 4.0 -asteikolla 9,2 pistettä.
Wizin mukaan jokainen viimeisen kymmenen vuoden aikana julkaistu PHP-versio on altis ainakin toiselle viasta, ja haavoittuvia versioita löytyi aina PHP 5.4:ään asti. Suurin riski on Apachen mod_php-moduulilla. Sille on olemassa toimiva hyökkäys, joka laukeaa ennen kuin sovelluksen koodia ajetaan lainkaan. Myös PHP-FPM, php-cgi, FrankenPHP ja LiteSpeed ovat haavoittuvia.
Hyökkäyksiä nähtiin jo ennen korjausta
Kyberturvallisuuskeskus julkaisi haavoittuvuustiedotteen keskiviikkoaamuna jo ennen korjausten ilmestymistä. Tiedotteen mukaan aktiivisesta hyväksikäytöstä ei ole tietoa, mutta esimerkkikoodeja on jo olemassa, joten tilanne voi muuttua nopeasti. Keskus kehottaa päivittämään kaikki PHP:tä käyttävät sovellukset korjattuun versioon heti ja aloittamaan julkiseen verkkoon avoimista järjestelmistä.
Cloudflare näkee tilanteen synkemmin. Yhtiön mukaan tiedot vuotivat ennen virallista julkaisupäivää, ja se havaitsi hyökkäysliikennettä asiakkaitaan vastaan jo ennen julkistusta. Hyökkääjät myös muokkasivat koodiaan päästäkseen Cloudflaren palomuurisääntöjen ohi.
Tavallinen verkkokäyttäjä kohtaa uhan välillisesti. Murrettu sivusto voi levittää haittaohjelmia, ohjata kävijöitä huijaussivuille tai vuotaa asiakkaiden tietoja. Pienen yhdistyksen tai kivijalkaliikkeen WordPress-sivu on yhtä lailla kohde kuin iso verkkokauppa, koska joukkohyökkäykset käyvät läpi kaikki palvelimet, jotka vastaavat.
Yksi tutkija, viikko ja kaksi kielimallia
Wiz Research löysi ensimmäisen vian 19. elokuuta. Yhtiön mukaan tutkijat Sagi Tzadik, Shir Tamari, Nir Ohfeld ja Tomer Schwartz käyttivät apunaan Googlen Gemini 4 Argon- ja OpenAI:n GPT-5.6 Sol -malleja. Toimiva hyökkäys Drupalia vastaan valmistui seuraavana päivänä, ja WordPress murtui sitä seuraavana. Wiz ilmoitti löydöistä PHP:lle 24. elokuuta.
Wizin mukaan yksi tutkija sai kärkitason tekoälyn avulla viikossa valmiiksi työn, johon maailman huippuryhmältä olisi aiemmin kulunut kuukausia. Kielimallit auttoivat erityisesti sovittamaan hyökkäyksen eri PHP-versioihin ja asetuksiin: malli analysoi epäonnistuneen yrityksen ja kokeili uudelleen. Wiz kertoi löydöstä myös X-viestissään.
Google DeepMindin Gemini-tietoturvasta vastaava Raluca Ada Popa sanoi Wizin blogissa: ”Gemini 4 Argonia käyttämällä Wizin tiimi on osoittanut, miksi kärkitason tekoäly on käänteentekevä kyberpuolustukselle.” Alkuperäinen sitaatti on englanniksi: ”Using Gemini 4 Argon, the team at Wiz has shown why frontier AI is a game-changer for cyber defense.”
Löydöstä ei voi laskea yhden yhtiön ansioksi. Löytöjen, koordinoinnin ja korjausten varmistamisen parissa työskentelivät Wizin lisäksi OpenAI:n Codex Security -tiimi ja tietoturvayhtiö Calif. Cloudflaren mukaan haavoittuvuuksista ilmoitti neljä tahoa: Wiz, Calif, OpenAI ja Quarkslab.
