PHP turvameeskond kinnitas pärast andmeleket kahte kriitilist kaugkoodi käivitamise (RCE) viga. Siin on kõik, mida pead teadma.
Turvauurija Florian Roth postitas, et PHP tuumas (core) on avastatud kaugkoodi käivitamise (RCE) haavatavus, mille ohuhindeks märgiti algselt CVSS 10.0. Ta lisas, et üksikasjad pidi avaldatama 20. oktoobril ning turvapaigad luuakse ainult PHP 8 versioonidele. Antud postitus kogus kiiresti 53 tuhat vaatamist. Lugu hakkas laiemalt levima pärast seda, kui lekke tõttu rikuti infoturbepiirangut (embargot), mis küberturvafirma watchTowr ootuste kohaselt pidi kestma neljapäeva hommikul kella 11-ni ET aja järgi.
Seejärel tegi PHP Foundation ametliku eelhoiatuse. Turvavärskendus on planeeritud kolmapäevaks, 21. oktoobriks 2026 kell 14:00 UTC (Eesti aja järgi kell 17:00), mis on võrdne kell 10:00 EDT. Värskendus parandab kaks kriitilist haavatavust tähistega CVE-2026-109618 ja CVE-2026-109619. Ametlik ohuhinnang on CVSS v4.0 järgi 9.2, mitte veebis ringlev 10.0. Arendusmeeskond teatas, et parandused võidakse välja lasta ka varem, kui detailid peaksid avalikuks saama või kui tuvastatakse turvaaukude aktiivne ärakasutamine. Mõned postitused viitasid ekslikult kellaajale 9 AM EDT ning watchTowr-i algses teavituses oli trükiviga, mis märkis CVE aastaks 2926.
Lekke ehtsus on saanud kinnituse. watchTowr kinnitab, et embargo all olnud nullpäeva (zero-day) haavatavused on tõesed, ning küberturbeettevõte Previdian teatas, et on suutnud need edukalt reprodutseerida. Hetkel ei ole tehnilised üksikasjad veel avalikud. Raportite kohaselt puudutavad need vead PHP versioone 5, 6, 7 ja 8, kuid ametlikke turvaparandusi eeldatakse ainult versioonile 8.0 ja sellest ülespoole. See info on veel ametlikult kinnitamata. Turvauurija Nicolas Krassas plaanib pärast embargo lõppemist avaldada vigade testimiseks mõeldud virtuaallabori. Küberturbe eksperdid eeldavad, et ründajad alustavad haavatavuste ärakasutamist minutite jooksul pärast tehniliste detailide ilmsikstulekut.
PHP platvormil töötab suur osa maailma veebist, sealhulgas Wikipedia, WordPressi veebilehed, WooCommerce’i e-poed, Drupal ning Adobe Commerce (endine Magento) e-kaubanduse platvormid ja enamus dünaamilisi veebilehekülgi.
Põhiandmed lühidalt:
• 2 kriitilist RCE (kaugkoodi käivitamise) haavatavust
• Identifikaatorid: CVE-2026-109618 ja CVE-2026-109619
• Ohutase: Ametlikult CVSS v4.0 9.2 (lekkinud info kohaselt 10.0)
• Turvapaikade väljastamine: 21. oktoober 2026, 14:00 UTC (kell 17.00 Eesti aja järgi)
• Oodatavad parandused: PHP versioonidele 8.0 ja uuemad
Süsteemiadministraatoritel soovitatakse tungivalt kohe teha ülevaade (inventuur) oma hallatavatest serveritest ja hostidest ning uuendada tarkvara esimesel võimalusel niipea, kui turvapaigad on kättesaadavad.
