PHP2Shell · CVE-2026-109618 · CVE-2026-109619
Minkä PHP-version verkkosivustonne ilmoittaa?
PHP-projekti korjasi 21. lokakuuta 2026 2 kriittistä haavoittuvuutta, joita CISA kutsuu nimellä PHP2Shell (CVE-2026-109618 ja CVE-2026-109619, CVSS 9.2). Ne mahdollistavat koodin suorittamisen palvelimella ilman kirjautumista. Syöttäkää verkkotunnus, niin näytämme, minkä PHP-version verkkosivustonne ilmoittaa otsakkeissaan ja vastaako se korjattua versiota.
Miten tulosta tulkitaan
- Vanha versionumero ei todista haavoittuvuutta. Monet hosting-palveluntarjoajat asentavat korjauksen ja säilyttävät alkuperäisen versionumeron.
- Ajantasainen versionumero on hyvä merkki, ei todiste. Otsaketta voi muuttaa palvelimen asetuksilla tai sen edessä olevalla laitteella.
- Kun verkkosivusto ei ilmoita versiota, emme tiedä mitään. Näin on useimpien verkkosivustojen kohdalla: 31. lokakuuta 2026 meille vastanneista 8 171 slovakialaisen yrityksen verkkosivustosta vain 332 ilmoitti PHP-version otsakkeessa (4,1 %).
Mitkä versiot sisältävät korjauksen
| Haara | Korjattu versiosta |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
PHP-projekti ei enää ylläpidä versiota PHP 8.1 tai sitä vanhempia. Jotkin Linux-jakelut ja laajennetun tuen toimittajat lisäävät korjauksen itse, joten kysykää asiaa heiltä.
Mitä tehdä
- Päivittäkää PHP versioon 8.2.35, 8.3.36, 8.4.27, 8.5.12 tai uudempaan tai toimittajanne korjattuun pakettiin.
- Kysykää palvelun ylläpitäjältä, mitä PHP-versiota se käyttää ja sisältääkö se korjaukset haavoittuvuuksiin CVE-2026-109618 ja CVE-2026-109619.
- Älkää ilmoittako versiota:
expose_php = Offtiedostossaphp.inipoistaa X-Powered-By-otsakkeen.