PHP arendajad avaldasid parandused kahele kriitilisele haavatavusele üle maailma

Avatud lähtekoodiga programmeerimiskeele PHP arendajad avaldasid kolmapäeva pärastlõunal turvapaigad kahele kriitilisele haavatavusele. Mitmes riigis, sealhulgas Soomes ja Hollandis, olid asutused ennetavalt veebilehti võrgust maha võtnud.

PHP arendajad avaldasid kolmapäeva pärastlõunal turvapaigad kahele hiljuti lekkinud kriitilisele haavatavusele. «Kõiki PHP kasutajaid julgustatakse tungivalt kohe uuendama,» ütles meeskond veebis avaldatud teates.

Parandused on mõeldud lappima augud tähistega CVE-2026-109618 ja CVE-2026-109619. Nende abil saaks ründaja veebilehe või serveri kaugjuhtimisel enda kontrolli alla võtta, möödudes tavapärastest tõketest nagu parooliga kaitstud kontod. Nii pääseks ligi riigiasutuste andmebaasidele ja klientide andmetele, saaks lehti rikkuda või lõhkuda terve ettevõtte teenused.

PHP-d kasutavad miljonid veebilehed maailmas, sealhulgas kriitiline taristu, valitsusportaalid, uudisteportaalid ja e-poed. Tarkvara on tasuta ja selle eest hoolitsevad vabatahtlikud.

Leke tuli päev enne paiku

Haavatavused avastasid augustis kaks eraldi turvafirmat, Calif ja Wiz, ja mõlemad kasutasid vigade leidmiseks tehisintellekti tööriistu. Arendajad hoidsid probleeme parandust valmistades saladuses, kuid info lekkis teisipäeval, päev enne planeeritud uuendust.

Cloudflare'i tehnoloogiajuht Dane Knecht ütles tunde enne paikade ilmumist, et häkkerid üritavad auke juba ära kasutada. «Näeme varaseid rünnakuid ja täiendame kaitsemeetmeid, kui ilmnevad uued ründeviisid,» kirjutas ta veebis. Kõrge raskusastmega haavatavuste puhul tähendab hinnang autentimata koodi kaugkäivitamist, ütles Euroopa Liidu küberintsidentide üksus CERT-EU.

Lehti võeti võrgust maha

Soome ja Holland sulgesid riiklikke veebiteenuseid, Hollandi küberturvalisuse keskus võttis ennetavalt maha ka enda lehe. Riigi Infosüsteemi Amet kinnitas, et sissemurdmise märke pole ja ametile pole teada, et auke oleks aktiivselt ära kasutatud.

Prantsusmaal läks võrgust maha Pariisi politseiprefektuuri veebileht «kriitilise turvaaugu tuvastamise» tõttu, koos kohalike omavalitsuste lehtedega. Saksamaa valitsuse IT-teenusepakkuja võttis maha osa PHP-d kasutavaid saite ja Belgia välisministeerium blokeeris ajutiselt oma veebiesinduse. Hoiatasid ka Austraalia ja Jaapani ametkonnad.

USA riiklik julgeolekuamet NSA märkis, et sellised haavatavused annavad sageli otsetee serveri failisüsteemi või andmebaasi. «Kui kohe uuendamine pole võimalik, soovitatakse organisatsioonidel süsteem võrgust maha võtta, kuni oht on täielikult kõrvaldatud,» kirjutas amet X-is. Valge Maja teatas, et sai probleemist teada eelmisel nädalal ja föderaalasutused hindavad mõju valitsuse süsteemidele.

WordPressi kaitsva pistikprogrammi Wordfence arendajad hoiatasid, et automaatuuendused turvaparandust ei paigalda. CERT-EU hinnangul võib probleem ulatuda tagasi 2004. aastal ilmunud PHP 5-ni, kuid mõjutatud versioonid on veel selgusetud.