PHP kūrėjai 2026 m. spalio 21 d. paskelbė saugumo atnaujinimus, ištaisančius dvi kritines spragas: CVE-2026-109618 ir CVE-2026-109619. Jos gali leisti užpuolikui nuotoliniu būdu vykdyti kodą be prisijungimo. Svetainių savininkams svarbiausia išsiaiškinti, ar jų serveriuose naudojamas PHP, ir su administratoriumi arba talpinimo paslaugos teikėju suderinti atnaujinimą.
Apie grėsmę pranešė BBC, o rekomendacijas organizacijoms paskelbė CERT-EU. Ankstyvuose pranešimuose dar buvo nurodomas planuojamas pataisų laikas. Šis tekstas remiasi vėliau PHP projekto paskelbta informacija apie jau išleistas pataisas.
Kokios PHP versijos ištaiso spragas
Oficialiame PHP saugumo pranešime nurodytos šios pataisytos versijos:
| Naudojama PHP šaka | Saugumo pataisų leidimas |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
PHP komanda įspėja apie riziką PHP diegimams, apdorojantiems žiniatinklio užklausas. Tai apima PHP-FPM, Apache su mod_php ir kitas PHP vykdymo aplinkas. Vien saugumo įskiepio įdiegimas ar svetainės turinio valdymo sistemos atnaujinimas nepakeičia serveryje veikiančio PHP paketo.
Ką tai reiškia WordPress ir kitoms svetainėms
PHP veikia serverio pusėje, todėl svetainės lankytojas jo versijos paprastai nemato. Verslo savininkui verta kreiptis į tą, kas prižiūri talpinimo aplinką. Svetainės kūrėjas, įskiepių prižiūrėtojas ir serverio administratorius gali būti skirtingi paslaugų teikėjai.
Drupal saugumo komanda taip pat paskelbė pranešimą apie būtinybę atnaujinti PHP ir priminė, kad svetainių savininkai turi rūpintis talpinimo platformos komponentų saugumu. Problema nėra apribota viena turinio valdymo sistema. Vertinti reikia visą naudojamą aplinką.
Jei paslaugą administruoja išorinis partneris, paprašykite konkretaus patvirtinimo: kokia PHP versija aptarnauja svetainę, ar jai pritaikytos abiejų spragų pataisos ir ar po pakeitimo patikrintos svarbiausios funkcijos. Tokia užduotis turėtų patekti ir į sutartą svetainės priežiūros darbų apimtį.
Ką padaryti dabar
- Susirašykite PHP naudojančias sistemas. Įtraukite svetaines, el. parduotuves, administravimo aplinkas ir atskiras integracijas. Pagrindinio puslapio technologija nebūtinai apibūdina visus serverio komponentus.
- Gaukite atnaujinimo patvirtinimą. Talpinimo tiekėjai ir operacinių sistemų platintojai gali pateikti savo paketus. Paprašykite nuorodos į tiekėjo saugumo pranešimą arba kito patvirtinimo, kad pataisytos būtent šios spragos.
- Patikrinkite svetainės veikimą. Po diegimo išbandykite prisijungimą, kontaktų formas, failų įkėlimą, užsakymą ir kitas jūsų verslui svarbias funkcijas. Administratoriui palikite patikrinti, ar atnaujinta būtent svetainę aptarnaujanti aplinka.
Jeigu atnaujinti iš karto neįmanoma, CERT-EU rekomenduoja svarstyti iš interneto pasiekiamų programų izoliavimą, kol bus galima pritaikyti pataisą. Sprendimą dėl laikino prieigos ribojimo derinkite su administratoriumi, įvertinę paveiktas sistemas ir jų paskirtį.
Ką daryti naudojant seną PHP versiją
PHP 8.1 ir senesnės šakos nebegauna įprastų PHP projekto saugumo atnaujinimų. Kai kurie operacinių sistemų ar ilgalaikio palaikymo tiekėjai pataisas pritaiko senesnėms šakoms, todėl vien versijos numerio nepakanka spręsti, ar konkretus tiekėjo paketas pataisytas. Tai turi patvirtinti jo leidėjas.
Jeigu tokio palaikymo nėra, su administratoriumi planuokite perėjimą į palaikomą PHP šaką. PHP komanda pabrėžia, kad laikinos poveikio mažinimo priemonės nepakeičia atnaujinimo ir nepadaro pažeidžiamo diegimo saugaus. Pasenusią aplinką verta tvarkyti kaip atskirą serverio administravimo užduotį, o ne atidėti iki kito svetainės dizaino atnaujinimo.
