PHP2Shell: kaksi kriittistä PHP-haavoittuvuutta – päivitä nyt
Julkaistu 21.10.2026 · Vakavuusaste : Kriittinen · Päivitetty 27.10.2026
Mitä tapahtuu: 21. lokakuuta 2026 PHP korjasi kaksi kriittistä haavoittuvuutta, CVE-2026-109618 ja CVE-2026-109619, joista käytetään nimeä ”PHP2Shell”. Molemmat voivat mahdollistaa koodin suorittamisen palvelimella ilman kirjautumista. Ensimmäinen liittyy muistipuutteen käsittelyyn, toinen sisäisiin tietoihin, joita myöhempi pyyntö voi käyttää muistin vapauttamisen jälkeen.
Kuinka vakava: kriittinen. Hyökkäyskoodiesimerkkejä on julkaistu, ja CERT-FR on havainnut hyökkäysyrityksiä (27. lokakuuta 2026). Molemmat haavoittuvuudet ovat Yhdysvaltain CISA:n aktiivisesti hyökkäysten kohteena olevien haavoittuvuuksien listalla.
Kenet koskee: kaikkia PHP:tä käyttäviä verkkosivustoja – muun muassa WordPress, Joomla, Drupal ja monet verkkokaupat – joissa on PHP 5.x, 7.x, 8.0, 8.1 tai 8.2 ennen versiota 8.2.35, 8.3 ennen versiota 8.3.36, 8.4 ennen versiota 8.4.27 ja 8.5 ennen versiota 8.5.12. PHP 5, 7, 8.0 ja 8.1 eivät enää saa korjauksia.
Mitä sinun kannattaa tehdä: päivitä PHP versioon 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai uudempaan. Kysy palveluntarjoajaltasi, mitä PHP-versiota verkkosivustasi käyttää. Jos se käyttää versiota, jolle ei enää julkaista korjauksia, se on siirrettävä ylläpidettyyn versioon. Väliaikaisia toimenpiteitä on saatavilla, mutta PHP:n mukaan ne eivät tee asennuksesta turvallisen; vain päivitys tekee sen.
Katso myös CVE-2026-115560, uusi haavoittuvuus samalla alueella, jota ei ole vielä korjattu. Epäiletkö verkkosivosi turvallisuutta? Ota yhteyttä, niin kerromme sinulle, mitä pitäisi tehdä.