AnswersPublished21 sources
PHP2Shell pakotti kiireellisiin tietoturvapäivityksiin
PHP julkaisi 21. lokakuuta 2026 kiireelliset korjaukset kahteen vakavaan haavoittuvuuteen, jotka saattoivat mahdollistaa etäkoodin suorittamisen ilman tunnistautumista.
JulkaisijaMuokattu mallilla GPT-6 LunaKuvat luotu mallilla GPT Image 2
Research answer
Key takeaways
- PHP julkaisi 21. lokakuuta 2026 kiireelliset korjaukset kahteen vakavaan haavoittuvuuteen, jotka saattoivat mahdollistaa etäkoodin suorittamisen ilman tunnistautumista.
- Calif löysi ongelmat OpenAI:n Patch the Planet hankkeen yhteydessä, ja Wiz löysi haavoittuvuudet itsenäisesti.
- Haavoittuvuuksien CVSS v4.0 pisteet olivat 9,2. Yli 22,6 miljoonaa internetiin näkyvää esiintymää arvioitiin mahdollisesti haavoittuviksi, mutta luku ei tarkoita vahvistettuja murtoja.
- Lokakuun 23. päivänä PHP varoitti lisäksi harvinaisissa asetuksissa mahdollisesta CVE 2026 115560 haavoittuvuudesta ja suositteli väliaikaiseksi suojaukseksi istuntojen latauksen seurannan poistamista käytöstä.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shelliksi nimetyt haavoittuvuudet käynnistivät lokakuussa 2026 kiireellisen päivityskierteen. Kyse oli kahdesta PHP:n ytimeen liittyvästä viasta, jotka saattoivat tietyissä tilanteissa antaa hyökkääjälle mahdollisuuden suorittaa koodia palvelimella ilman kirjautumista. PHP julkaisi korjaukset 21. lokakuuta, päivää ennen alun perin suunniteltua julkaisua, kun tietoja haavoittuvuuksista oli tullut julki etuajassa. 7
18
Tilanne vaati nopeaa reagointia, mutta on tärkeää erottaa toisistaan haavoittuva palvelin, hyökkäysyritys ja onnistunut murto. Saatavilla olevat lähteet eivät osoita, että PHP2Shell olisi johtanut laajoihin vahvistettuihin tietomurtoihin.
Tekoälyavusteinen löytö ja vakavat seuraukset
Calif löysi haavoittuvuudet elokuussa OpenAI:n Patch the Planet -hankkeen yhteydessä. Wiz tunnisti ongelmat itsenäisessä tutkimuksessaan. Raporteissa mainitaan työssä käytetyiksi tekoälytyökaluiksi GPT-5.6 Sol, Wiz Atlas ja Gemini 4 Argon. 6
21
Haavoittuvuuksilla on tunnisteet CVE-2026-109618 ja CVE-2026-109619. Ensimmäinen liittyy muistin korruptoitumiseen tilanteessa, jossa PHP:ltä loppuu muisti; toinen vanhentuneeseen globaaliin tilaan. Molemmat voivat johtaa etäkoodin suorittamiseen. Haavoittuvuuksien CVSS v4.0 -arvio oli 9,2, mikä sijoittaa ne vakavimpaan luokkaan. 7
10
Haavoittuvuuksien kerrottiin koskevan PHP:n versioita 5.4–8.5. PHP on laajasti käytetty verkkopalvelinten ohjelmointikieli, mutta arvio sen osuudesta verkon sivustoista on suuntaa antava: TechTargetin mukaan PHP:tä käyttää arviolta 70 prosenttia verkosta. Palo Alto Networks puolestaan tunnisti yli 22,6 miljoonaa internetiin näkyvää esiintymää, jotka saattoivat olla haavoittuvia. Luvut kuvaavat mahdollista altistumista, eivät vahvistettujen murtojen määrää. 1
23
Vuoto aikaisti korjausten julkaisua
Haavoittuvuustiedot tulivat julki 20. lokakuuta, ennen suunniteltua julkaisua. PHP:n korjaukset julkaistiin seuraavana päivänä: versiot 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP kehotti päivittämään kaikki verkkopyyntöjä käsittelevät asennukset. 18
PHP:n versioille 8.1 ja sitä vanhemmille ei ole tarjolla vastaavia uusia, PHP-projektin ylläpitämiä tietoturvaversioita, sillä nämä versiot ovat tuen ulkopuolella. Joillakin Linux-jakelijoilla tai pitkäaikaisen tuen tarjoajilla voi kuitenkin olla omia taaksepäin siirrettyjä korjauksiaan, joten tilanne kannattaa tarkistaa käytössä olevan alustan ylläpitäjältä.
Yhdysvaltain NSA kehotti kartoittamaan PHP:tä käyttävät palvelut ja asettamaan korjauspäivitykset etusijalle. CISA suositteli päivittämään viipymättä, ja myös Google, AWS ja Microsoft julkaisivat asiakkailleen ohjeita. 3
17
18 Raporttien mukaan osa verkkosivustoista oli tilapäisesti poissa käytöstä päivitysten vuoksi, mutta saatavilla olevat tiedot eivät kuvaa katkoksien kokonaismäärää tai vaikutuksia tarkemmin.
Hyökkäysyritykset eivät todista onnistuneita murtoja
Amazon Threat Intelligence raportoi havainneensa PHP2Shelliin liittyvän hyökkäysyrityksen MadPot-hunajapurkissaan 17. lokakuuta, neljä päivää ennen tietojen julkistamista. Havainto osoittaa, että haavoittuvuutta yritettiin hyödyntää ennen korjausten julkaisua; se ei yksin todista onnistunutta murtoa tuotantopalvelimelle. 4
Sansec arvioi 22. lokakuuta, että laajamittainen hyväksikäyttö oli epätodennäköisempää kuin se oli julkaisupäivänä arvioinut. Lähteissä esiintyy erilaisia väitteitä yritysten määristä, mutta yrityksiä, toimivaa esimerkkihyökkäystä ja vahvistettua tietomurtoa ei pidä sekoittaa toisiinsa. 10
Lokakuun 23. päivän lisävaroitus
PHP varoitti 23. lokakuuta erillisestä, epätodennäköisestä etäkoodin suorittamisen riskistä, joka liittyy CVE-2026-115560-haavoittuvuuteen ja poikkeukselliseen istuntoasetusten yhdistelmään. PHP suositteli asettamaan session.upload_progress.enabled=0 seuraavaan tavalliseen korjausjulkaisuun asti. Ohjeen mukaan ominaisuuden voi pitää käytössä sovelluksissa, jotka eivät vaihda sarjallistuskäsittelijää ajon aikana. 19
Aineisto ei vahvista kaikkia PHP Foundationin aiemmasta varoituksesta tai resurssipulasta esitettyjä väitteitä, eikä se osoita, että OpenAI olisi julkaissut PHP-version tarkistustyökalun tai luvannut Daybreak-ohjelmaan miljardin dollarin tuen. Tekoälyllä oli rooli haavoittuvuuksien löytämisessä, mutta käytettävissä olevat tiedot eivät ratkaise, hyödyttikö tekoäly tässä tapauksessa enemmän puolustajia vai hyökkääjiä.
Käytännön viesti on selkeä: selvitä, missä ympäristöissä PHP:tä käytetään, tarkista käytössä olevan version tukitilanne ja asenna sopiva korjaus. Mahdollinen altistuminen ei tarkoita, että järjestelmään olisi jo murtauduttu.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell pakotti kiireellisiin tietoturvapäivityksiin"?
PHP julkaisi 21. lokakuuta 2026 kiireelliset korjaukset kahteen vakavaan haavoittuvuuteen, jotka saattoivat mahdollistaa etäkoodin suorittamisen ilman tunnistautumista.
What are the key points to validate first?
PHP julkaisi 21. lokakuuta 2026 kiireelliset korjaukset kahteen vakavaan haavoittuvuuteen, jotka saattoivat mahdollistaa etäkoodin suorittamisen ilman tunnistautumista. Calif löysi ongelmat OpenAI:n Patch the Planet hankkeen yhteydessä, ja Wiz löysi haavoittuvuudet itsenäisesti.
What should I do next in practice?
Haavoittuvuuksien CVSS v4.0 pisteet olivat 9,2. Yli 22,6 miljoonaa internetiin näkyvää esiintymää arvioitiin mahdollisesti haavoittuviksi, mutta luku ei tarkoita vahvistettuja murtoja.