PHP-haavoittuvuus 21. lokakuuta: mitä tapahtui ja miten tilanne on nyt

Keskiviikkona 21. lokakuuta tuli julki kaksi vakavaa tietoturva-aukkoa PHP:ssä, ohjelmointikielessä, jolla suurin osa kaikista verkkosivustoista toimii, mukaan lukien WordPress. Saatat huomata tästä jotain, sillä osan päivästä verkkosivustomme olivat poissa käytöstä. Tässä artikkelissa käymme läpi, mitä tapahtui, miten toimimme ja miten tilanne on nyt.

Mitä tapahtui?

Aukot (CVE-2026-109618 ja CVE-2026-109619) mahdollistivat sen, että ulkopuoliset pystyivät suorittamaan koodia verkkopalvelimella. Se on suunnilleen pahin mahdollinen tietoturva-aukko: hyökkääjä ei tarvitse siihen salasanaa, ja se vaikuttaa käytännössä koko internetiin.

Miten toimimme

1. Väliaikainen toimenpidekeskiviikko 21. lokakuuta klo 10.00

   Tuolloin tiedossa oli vain, että kaikissa PHP-versioissa oli kaksi vakavaa aukkoa, joiden CVE-pisteet olivat 9,2. Yksityiskohtia ei vielä ollut, eikä onnistuneita hyökkäyksiä ollut vielä tiedossa, vaikka esimerkiksi Cloudflare näki yhä enemmän yrityksiä. Koska aukon yksityiskohdat eivät olleet tiedossa, kukaan ei tiennyt tarkalleen, mistä oli kyse ja mitä voitaisiin tehdä riskin pienentämiseksi. Uusia lieventäviä toimenpiteitä ja mahdollisia keinoja riskin pienentämiseksi tuli kuitenkin jatkuvasti tietoon. Otimme ne heti käyttöön, kuten tiettyjen PHP-toimintojen poistamisen käytöstä ja palomuurin päivittämisen useaan otteeseen.
   Kello 10.00 alkaen ajoimme myös jatkuvasti erittäin tiukkoja haittaohjelmatarkistuksia, jotta huomaisimme heti, jos jollekin palvelimellemme tai asiakkaidemme tileille asennettaisiin skripti. Näin ei tapahtunut.

2. Verkkosivustot pois käytöstäkeskiviikko 21. lokakuuta klo 15.15

   Vaikka emme nähneet väärinkäyttöyrityksiä palvelimillamme, päätimme valita turvallisimman vaihtoehdon: kaiken sulkemisen. Suurin syy tähän oli, että epäilimme internetissä liikkuneiden lieventävien ratkaisujen (väliaikaisten korjausten) tehokkuutta, koska kukaan ei pystynyt vahvistamaan, että ne tarjoaisivat riittävän suojan.
   Tilanteessa, jossa epävarmuutta on näin paljon ja mahdolliset seuraukset ovat valtavat, muutaman tunnin käyttökatko on perusteltavissa, riskin ottaminen ei.

3. Virallinen ratkaisukeskiviikko 21. lokakuuta klo 16.00

   PHP:n kehittäjät julkaisivat virallisen päivityksen, joka sisälsi korjauksen versioihin 8.3, 8.4 ja 8.5. Sen jälkeen jäimme odottamaan päivitettyjä paketteja CloudLinuxilta, joka toimittaa palvelimillamme käytettävät PHP-versiot.
   Päivityksen julkaisun yhteydessä tulivat tietoon myös haavoittuvuuksien yksityiskohdat, mikä vahvisti ennakkoaavistuksemme: tunnetut lieventävät toimenpiteet ja ylimääräiset palomuurisäännöt pienensivät hakkerointiriskiä, mutta eivät riittäneet suojaamaan palvelinta.

4. Väliaikainen ratkaisukeskiviikko 21. lokakuuta klo 19.00

   Valitettavasti CloudLinuxilta kesti huomattavasti kauemmin kuin toivoimme ja odotimme saada päivitykset valmiiksi. Yhteydenotoistamme muihin palveluntarjoajiin kävi ilmi, ettemme olleet ainoita, jotka tämä yllätti. Koska huomasimme, että CloudLinux oli jo useita kertoja ylittänyt itse asettamansa määräajat, aloimme työstää väliaikaista ratkaisua.
   Asensimme itse PHP-version 8.3.36 kaikille palvelimillemme ja siirsimme kaikki asiakkaamme väliaikaisesti tähän versioon. 90 % verkkosivustoista palasi verkkoon kello 19.00 ja 20.30 välillä. Ainoat sivustot, jotka eivät palanneet verkkoon, olivat vanhentuneita eivätkä pystyneet toimimaan nykyaikaisella PHP-versiolla.

5. Päivittäminentorstai 22. lokakuuta klo 00.30

   Päivitykset tulivat saataville, ja aloitimme heti niiden asentamisen ja tarkistamisen palvelin kerrallaan.

6. Ratkaistutorstai 22. lokakuuta klo 02.30

   Kaikki palvelimet oli päivitetty, ja kaikki verkkosivustot olivat taas verkossa, samalla PHP-versiolla kuin aiemmin.

Ymmärrämme hyvin, että on ikävää, jos verkkosivustosi ei ole saavutettavissa iltapäivän ja illan ajan. Tämä haitta ei kuitenkaan vedä vertoja mahdollisille seurauksille. Emme ole koskaan aiemmin joutuneet päättämään, että kaikki suljetaan varotoimena, mutta jos sama tilanne toistuisi, toimisimme täsmälleen samalla tavalla.

Miten tilanne on nyt?

• Kaikki tarjoamamme PHP-versiot, 5.2:sta 8.5:een, sisältävät tietoturvakorjaukset molempiin aukkoihin.
• Muutamat verkkosivustot, jotka toimivat vieläkin vanhemmalla PHP-versiolla, johon korjausta ei ole olemassa, siirsimme korjattuun versioon.
• Tarkistimme palvelimet aukon aikana ja sen jälkeen väärinkäytön merkkien varalta, kuten jumiutuneiden PHP-prosessien, epäilyttävien prosessien, ladattujen tiedostojen ja tunnettuun hyökkäykseen sopivien pyyntöjen osalta. Emme löytäneet viitteitä siitä, että aukkoa olisi käytetty väärin palvelimillamme, emmekä löytäneet myöskään yrityksiä siihen ennen kuin suljimme palvelut.

Onko verkkosivustoni erotettu muiden sivustoista?

Kyllä. Jokainen hosting-paketti toimii meillä omassa, eristetyssä ympäristössään. PHP toimii pakettisi käyttäjän alla, ilman hallintaoikeuksia palvelimelle, eikä pääse käsiksi muiden asiakkaiden tiedostoihin tai tietokantoihin. Myös suorittimen ja muistin käyttö on rajattu pakettikohtaisesti. Emme jaa tietoisesti enempää yksityiskohtia tietoturvastamme julkisesti: mitä vähemmän hyökkääjä tietää, sitä parempi.