PHP-s tuvastati kaks kriitilist turvanõrkust, mille ärakasutamine võib võimaldada ründajal käivitada serveris käske ilma eelneva autentimiseta. Riigi Infosüsteemi Amet (RIA) soovitab PHP-d kasutavate süsteemide haldajatel valmistuda turvaparanduste viivitamatuks paigaldamiseks. Tähelepanu vajavad ka WordPressi veebilehti teenindavad serverid.
Turvanõrkuste tähised on CVE-2026-109618 ja CVE-2026-109619. Mõlema raskusaste on CVSS v4.0 skaalal 9,2 punkti kümnest. PHP turvameeskonna teatel on paranduste avaldamine kavandatud 21. oktoobrile 2026 kell 17 Eesti aja järgi. Mõjutatud ja parandatud versioonide täpne loetelu avaldatakse koos turvauuendusega.
Miks see WordPressi veebilehti puudutab?
WordPress töötab PHP-l ning kasutab seda nii sisuhaldussüsteemi enda kui ka teemade ja pluginate koodi käivitamiseks. Seetõttu sõltub veebilehe turvalisus lisaks WordPressi uuendustele ka serveris kasutatavast PHP-st.
Praegune hoiatus puudutab PHP enda turvanõrkusi. See tähendab, et WordPressi, teemade ja pluginate ajakohasena hoidmine on endiselt vajalik, kuid kõnealuste haavatavuste kõrvaldamiseks tuleb paigaldada PHP turvaparandused.
Koodi kaugkäivitamise võimalus võib eduka ründe korral anda kurjategijale ligipääsu veebilehe failidele või andmetele. Võimaliku kahju ulatus sõltub muu hulgas serveri seadistusest ja PHP protsessi õigustest.
PHP uuendamise eest vastutab majutaja või serverihaldur
Tavapärase virtuaalserveriteenuse puhul paigaldab PHP turvaparandused üldjuhul veebimajutusteenuse pakkuja. Veebilehe omanikul tasub jälgida teenusepakkuja turvateavitusi ning vajaduse korral kontrollida, kas tema veebilehte teenindav PHP on parandatud.
Oma virtuaal- või füüsilise serveri puhul vastutab uuendamise eest serverihaldur. Tähelepanu tuleb pöörata ka konteineritele ja teistele keskkondadele, kus PHP võib töötada eraldi paigaldusena.
RIA soovitab esmalt tuvastada kõik PHP-d kasutavad süsteemid ja nende versioonid, alustades internetist ligipääsetavatest teenustest. Kontrollida tuleb ka kolmandate osapoolte tooteid, mis kasutavad PHP-d.
Ajutine leevendus ei asenda turvaparandust
Kuni paranduste paigaldamiseni soovitab RIA kaaluda PHP Session Upload Progressi funktsiooni ajutist väljalülitamist. Selleks saab sobivas PHP seadistusfailis määrata:
session.upload_progress.enabled = OffFunktsioon võimaldab jälgida failide üleslaadimise edenemist. PHP dokumentatsiooni järgi on see vaikimisi sisse lülitatud. Seadistuse muutmise võimalus ja viis sõltuvad majutuskeskkonnast.
RIA avaldatud info kohaselt võib funktsiooni väljalülitamine takistada üht võimalikku ärakasutamisviisi, kuid see ei kõrvalda turvanõrkusi täielikult ega asenda PHP uuendamist.
Samuti soovitab RIA tagada süsteemide logide kogumise ja säilitamise, et vajaduse korral tuvastada kahtlasi päringuid ning ründekatseid. Kui ilmnevad märgid ründest, tuleb olla valmis mõjutatud süsteeme isoleerima või ajutiselt internetist eemaldama.
Uuendus
21.10.2026: 16:50 – Eesti veebimajutusteenuse pakkuja Zone teatas täna, 21. oktoobril, et on valmistunud mõjutatud süsteemide viivitamatuks uuendamiseks pärast PHP turvaparanduste avaldamist. Ettevõtte sõnul on meeskond tegelenud varastest öötundidest ennetavate kaitsemeetmete rakendamise ja saabuva info hindamisega. Zone hoiatab, et õhtul võib teenuste taaskäivitamise tõttu esineda lühiajalisi katkestusi. Väga ebatõenäolisel juhul võib osutuda vajalikuks mõne teenuse ajutine peatamine, millest antakse teada Zone’i teenuste olekulehel. Täpsem info on avaldatud Zone’i teates.
21.10.2026 16:55 – Veebimajutus.ee teatab oma kodulehe ülaservas, et täna, 21. oktoobril kell 17–19 ei ole hooldustööde tõttu kättesaadavad ettevõtte iseteenindus, koduleht ja veebimeil. Teates ei täpsustata, kas hooldustööd on seotud PHP turvauuendustega, ega mainita klientide veebilehtede kättesaadavuse katkestusi.
22.10.2026 11:07 – Virtuaal.com teatas, et 22. oktoobri hommikuks olid mõlema kriitilise PHP turvanõrkuse parandused paigaldatud kõigisse ettevõtte veebimajutusserveritesse. Enne paranduste ilmumist rakendati ajutisi kaitsemeetmeid ning veebitulemüür blokeeris teadaolevaid ründekatseid. Ettevõtte veebimajutuskliendid ise midagi tegema ei pea, kuid oma VPS-i haldajatel tuleb PHP uuendada. Virtuaal.com kasutab CloudLinuxi Alt-PHP pakette, millele lisati turvaparandused tagasiportimise teel: PHP kuvatavad versiooninumbrid jäid samaks, mistõttu võib ka parandatud PHP näidata näiteks versiooni 8.5.11, 8.4.26, 8.3.35 jne. CloudLinuxi kinnitusel tuleb paranduste olemasolu kontrollida paketi muudatuste logist, mitte üksnes PHP versiooninumbri järgi.
22.10.2026 11:15 – Radicenter teatas, et 21. oktoobril väljastatud PHP turvapaigad paigaldati ettevõtte serveritesse automaatselt. Uuendused said kõik teenusepakkuja pakutavad HardenedPHP eriversioonid. Ka nende puhul jäid PHP alamversioonide numbrid samaks, kuid muutusid pakettide väljalaskenumbrid: näiteks parandatud PHP 8.4 pakett on 8.4.26-5, PHP 8.3 pakett 8.3.35-6 ja PHP 8.2 pakett 8.2.34-7. Radicenteri avaldatud loetelus on turvaparandustega paketid PHP harudele alates versioonist 5.6 kuni versioonini 8.4.
