AnswersPublished23 sources
PHP2Shell: mitä kriittisistä haavoittuvuuksista pitää tietää?
PHP2Shell tarkoittaa kahta kriittistä PHP haavoittuvuutta, joiden CVSS v4.0 arvosana on 9,2. Haavoittuvuudet liittyvät muistin loppumisen käsittelyyn ja vanhentuneeseen sisäiseen tilaan.
JulkaisijaMuokattu mallilla GPT-6 LunaKuvat luotu mallilla GPT Image 2
Research answer
Key takeaways
- PHP2Shell tarkoittaa kahta kriittistä PHP haavoittuvuutta, joiden CVSS v4.0 arvosana on 9,2.
- Haavoittuvuudet liittyvät muistin loppumisen käsittelyyn ja vanhentuneeseen sisäiseen tilaan.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell on yhteisnimitys kahdelle PHP:n ydinaikaisen suorituksen haavoittuvuudelle: CVE-2026-109618 ja CVE-2026-109619. Molempien vakavuudeksi on arvioitu CVSS v4.0 -asteikolla 9,2 eli kriittinen. Haavoittuvuudet voivat mahdollistaa sen, että kirjautumaton hyökkääjä suorittaa koodia haavoittuvalla palvelimella. PHP-projekti julkaisi kiireelliset korjaukset 21. lokakuuta 2026. 
Palvelimista vastaavien tärkein tehtävä on päivittää PHP. Tieto hyväksikäyttöyrityksistä — mukaan lukien Amazonin honeypot-järjestelmässä ennen julkistusta havaittu yritys — antaa syyn toimia nopeasti. Se ei kuitenkaan yksin todista, että tuotantopalvelimeen olisi murtauduttu. 36
Mitä PHP2Shell-haavoittuvuudet tekevät?
Haavoittuvuuksilla on erikseen kuvattu erilaiset toimintamekanismit:
- CVE-2026-109618 liittyy muistin loppumisen käsittelyyn. Kun muisti loppuu, PHP:n käsittely voi keskeytyä tilanteessa, jossa pyyntöön liittyvät sisäiset tiedot ovat vasta osittain alustettuja. Siivousvaiheessa PHP voi sen jälkeen käsitellä virheellistä tietoa ikään kuin se olisi kelvollista.
58
- CVE-2026-109619 liittyy vanhentuneeseen sisäiseen tilaan. Raporttien mukaan pyyntöön liittyvää tilatietoa voi jäädä jäljelle senkin jälkeen, kun sen käyttämä muisti on vapautettu. Kyseessä on tällöin vapautetun muistin käyttöön liittyvä ongelma.
9
Haavoittuvuudet liittyvät siihen, miten PHP käsittelee tarkoituksella muotoiltuja HTTP-pyyntöjä, kuten tiedostojen lataamiseen tavallisesti käytettävää multipart-lomakedataa. 1
Miksi arvosana on 9,2 — ja mitä se ei kerro?
Molempien haavoittuvuuksien vakavuudeksi on ilmoitettu 9,2/10 eli kriittinen CVSS v4.0 -asteikolla. Keskeinen riskiä lisäävä tekijä on mahdollisuus suorittaa koodia etänä ilman tunnistautumista: hyökkääjän ei tarvitse kirjautua järjestelmään ennen yritystä.
Käytettävissä olevissa lähteissä ei ole mukana täydellisiä CVSS-arviointivektoreita, joten niiden perusteella ei voi eritellä tarkasti, miten yksittäiset arviointitekijät muodostavat arvosanan 9,2. Vakavuusarvio kertoo haavoittuvuuden mahdollisesta vakavuudesta. Se ei kerro, kuinka todennäköisesti tiettyä palvelinta vastaan hyökätään tai onnistuiko jokin havaittu yritys.
Mitkä PHP-versiot ovat haavoittuvia ja mitä pitää päivittää?
Raporttien mukaan haavoittuva versioalue alkaa PHP 5.4:stä. 55 PHP:n 8.x-haaroille julkaistut kiireelliset korjausversiot ovat:
| PHP-haara | Korjattu versio |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Versiot julkaistiin 21. lokakuuta 2026. Päivitä käyttämäsi haara vähintään taulukossa mainittuun korjausversioon tai sitä uudempaan versioon samassa haarassa.
Listatut korjaukset koskevat haaroja 8.2–8.5. Jos käytössä on vanhempi tai tuen ulkopuolella oleva PHP-haara, tarkista soveltuvat korjaukset ja päivitysohjeet PHP:n jakelijalta tai käyttöjärjestelmän toimittajalta. Älä oleta, että jokin taulukon versioista soveltuu suoraan vanhaan haaraan.
Julkistaminen ja hyväksikäyttö: yritys ei ole sama asia kuin murto
Haavoittuvuuksista tuli julkista tietoa 20. lokakuuta, ennen alun perin suunniteltua 22. lokakuuta tapahtuvaa julkistamista. PHP julkaisi kiireelliset korjaukset 21. lokakuuta. 8
42 Lähteet tukevat tietoa ennenaikaisesta julkistamisesta ja korjausten aikaistamisesta, mutta niiden perusteella ei voida päätellä, että Califin vahingossa julkaistu esittelyvideo olisi ollut aikaistamisen syy.
Amazon Threat Intelligence kertoi havainneensa MadPot-honeypot-järjestelmän telemetriassa PHP2Shell-hyväksikäyttöyrityksen 17. lokakuuta eli neljä päivää ennen julkistamista. Amazon kertoi havainneensa myös haavoittuvuuden konseptitodisteita eli proof-of-concept-hyökkäyksiä 21. lokakuuta julkaistujen korjausten aikoihin. Honeypot-havainto kertoo houkutusjärjestelmään kohdistuneesta toiminnasta, ei vahvistetusta murrosta oikean organisaation järjestelmään.
Cloudflare kertoi ottaneensa suojauksia käyttöön julkistamisen tienoilla, ja tuolloin julkaistujen raporttien mukaan tietoturvatoimijat havaitsivat hyökkäysliikennettä tai yrityksiä. 55
35 Hyväksikäytön laajuudesta ja onnistumisesta esitetyt arviot eivät olleet yhteneväisiä: jotkin toimijat raportoivat aktiivisesta tai laajamittaisesta hyväksikäytöstä, kun taas toisissa aikalaisraporteissa todettiin, etteivät viranomaiset olleet vahvistaneet onnistuneita hyökkäyksiä.
33
36
Havainnot antavat perusteen suhtautua yrityksiin vakavasti, mutta ne eivät oikeuta pitämään jokaista raportoituakaan yritystä onnistuneena tunkeutumisena tai päättelemään, että hyökkäykset olisivat olleet laajalle levinneitä. Altistumista ja poikkeamahavaintoja arvioitaessa nämä asiat on syytä pitää erillään.
Toimi näin päivityksen yhteydessä
Asenna korjattu PHP-versio — se on ensisijainen korjaustoimi. AWS:n mukaan täydellinen korjaus edellyttää päivittämistä. Jos päivitys ei onnistu heti, altistumista voi tilapäisesti vähentää esimerkiksi estämällä multipart-tiedostolataukset. Tällaiset keinot eivät korvaa päivitystä.
Kanadan kyberturvallisuuskeskus julkaisi kriittisen varoituksen, jossa kuvataan haavoittuvuudet ja niihin liittyvä riski koodin suorittamisesta ilman tunnistautumista. 2 Käytettävissä olevien lähteiden mukaan NSA suositteli myös ottamaan järjestelmät pois verkosta, jos niitä ei voida päivittää heti.
27 Noudata omaan ympäristöösi soveltuvia ohjelmistotoimittajien ja viranomaisten ohjeita, erityisesti jos PHP kuuluu osana tuotteeseen tai palveluntarjoaja hallinnoi sitä.
Käytännön ohje on selkeä: selvitä, missä PHP:tä käytetään, asenna oikea korjausversio ja tutki hälytykset huolellisesti. PHP2Shellin vakavuus edellyttää nopeaa toimintaa — mutta hyväksikäyttöyritys, toimiva hyökkäys ja vahvistettu murto tuotantojärjestelmään ovat eri asioita.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: mitä kriittisistä haavoittuvuuksista pitää tietää?"?
PHP2Shell tarkoittaa kahta kriittistä PHP haavoittuvuutta, joiden CVSS v4.0 arvosana on 9,2.
What are the key points to validate first?
PHP2Shell tarkoittaa kahta kriittistä PHP haavoittuvuutta, joiden CVSS v4.0 arvosana on 9,2. Haavoittuvuudet liittyvät muistin loppumisen käsittelyyn ja vanhentuneeseen sisäiseen tilaan.