Kritiskas PHP ievainojamības: ko šodien pajautāt cilvēkam, kas uztur Tavu mājaslapu

Stāvoklis uz 22.10.2026. Atjaunināts 22.10.: raksts papildināts ar uzbrukumu mēģinājumu stāvokli, brīdinājumu par pusrisinājumiem un jautājumu sarakstu izstrādātājam; sākotnējā versija iznāca 22.10. no rīta. Izņēmām: Wiz izmantoto AI modeļu nosaukumus, apgalvojumu par 70% mājaslapu, Wiz apgalvojumus par uzbrukuma pielāgošanu stundu laikā un par versiju ietekmēšanu pēdējā desmitgadē, kā arī e-pasta šablonu; to vietā ir jautājumu saraksts.

Īsi. 21.10.2026 PHP izdeva drošības atjauninājumu diviem kritiskiem trūkumiem. Tie var ļaut uzbrucējam bez pieteikšanās palaist savu kodu uz servera, kurā darbojas Tava mājaslapa. Trūkums ir pašā PHP, nevis lietotnes kodā, tāpēc ar spraudņu atjaunināšanu nepietiek: jāatjaunina PHP. Šodien pajautā tam, kas uztur mājaslapu, vai tas ir izdarīts, un pārliecinies, ka atbilde ir pilna, nevis daļēja.

Kas notika

PHP projekts 21.10. paziņoja, ka versijas 8.5.12, 8.4.27, 8.3.36 un 8.2.35 novērš divas kritiskas ievainojamības (CVE-2026-109618 un CVE-2026-109619), kas var ļaut attālināti palaist kodu bez pieteikšanās (PHP.net). Abas novērtētas ar 9,2 no 10 (CVSS v4.0) (Tenable). Apdraudētas visas PHP instalācijas, kas apkalpo tīmekļa pieprasījumus. Augstākais risks, pēc PHP komandas domām, ir konfigurācijai ar mod_php (viens no veidiem, kā PHP pieslēgts Apache serverim): tur uzbrukums var nostrādāt pirms sāk darboties pati lietotne.

Trūkumus atklāja drošības uzņēmuma Wiz pētnieki kopā ar Calif un OpenAI (tā raksta Wiz). Wiz demonstrēja darbojošos uzbrukumu pret WordPress, Drupal un Joomla jaunākajām gatavajām instalācijām (konteineru attēliem) testa brīdī un raksta, ka pat vienkārša “Hello World” lapa uz neatjaunināta PHP var būt ievainojama (Wiz Research). Wiz uzrādīja arī to, ka pat bez koda palaišanas var nolasīt servera procesa atmiņu, kurā var būt paroles, autentifikācijas pilnvaras un API atslēgas. Sansec raksta, ka ievainojamais kods ir no PHP 5.4.0 laikiem (2012. gads) (Sansec).

AI loma: Wiz saka, ka trūkumu atrašanā un uzbrukuma izveidē izmantoja mākslīgā intelekta modeļus. Wiz arī apgalvo, ka viens pētnieks nedēļas laikā paveica to, kas, pēc viņu domām, agrāk prasītu pasaules līmeņa komandai mēnešus. Wiz secinājums: sarežģītība vairs var nebūt šķērslis uzbrukumam.

Vai uzbrukumi jau notiek

Avoti ziņo par reāliem izmantošanas mēģinājumiem. Amazon honeypot tīkls (speciāli izliktas lamatas uzbrucēju vilināšanai) fiksēja mēģinājumu jau 17.10., četras dienas pirms publiskošanas (Help Net Security). Cloudflare 21.10. ziņoja, ka redz uzbrukumus, kas sāk parādīties (Tenable). Tenable raksta, ka Amazon uzskata, ka PHP2Shell tagad tiek plaši izmantots, un Datadog min vairākus ziņojumus par aktīvu izmantošanu un plašu neadresētu skenēšanu (Datadog). Vienlaikus Amazon saka, ka nav skaidrs, vai 21.10. mēģinājumi pret īstām sistēmām būtu izdevušies (Tenable). Uzbrukumu apjomu mēs paši nepārbaudījām; svarīgākais ir tas, ka mēģinājumi ir dokumentēti jau no 17.10., tāpēc atjaunināšanu atlikt nevajag.

Divas lietas, kurās pusrisinājumi un avoti jauc galvu

1. “Izslēdz vienu iestatījumu un esi drošībā.” Plaši izplatīts padoms ir izslēgt session.upload_progress.enabled. Pats PHP paziņojums to min kā daļēju pagaidu pasākumu, kas aizver tikai apstiprinātos sesiju ceļus, bet ne citus variantus un ne otru kļūdu. PHP raksta, ka pilnu aizsardzību dod tikai atjaunināšana, un Datadog saka tieši to pašu par šo padomu (Datadog). Ja atbilde no izstrādātāja ir “mēs izslēdzām vienu iestatījumu”, darbs nav pabeigts.

2. Mehānisms un skaitļi. Šajā jautājumā paši avoti nesakrīt. Wiz un Sansec upload-progress kļūdu piesaista pie CVE-2026-109618, bet PHP paziņojums, Datadog un Tenable to piesaista pie CVE-2026-109619 (109618 tie apraksta kā atmiņas izsīkuma kļūdu). Tāpēc nepaļaujies uz katru ierakstu, kas apgalvo, ka precīzi zina, kuru iestatījumu kurai kļūdai izslēgt. Pirms oficiālā paziņojuma cirkulēja arī CVE numuri ar nepareizu vērtējumu 10; PHP komanda abas vērtē ar 9,2 (tā raksta Tenable, atsaucoties uz PHP Foundation). Praktiskais secinājums visos nolasītajos avotos ir viens: jāatjaunina PHP.

Cloudflare saka, ka ir ieviesti sākotnējie noteikumi zināmajiem uzbrukuma veidiem un tie pieejami visiem klientiem, arī bezmaksas plānā (Help Net Security). Pats Cloudflare to sauc par pagaidu risinājumu un noteikumi aptver tikai caur Cloudflare ejošo datplūsmu (Tenable). Tas PHP atjaunināšanu neaizstāj.

Ko pajautāt izstrādātājam vai hostinga uzņēmumam

Hostinga uzņēmums ir tas, kura serveros atrodas Tava mājaslapa. Tev nav jāatjaunina serveri pašam, bet jāsaņem skaidras atbildes:

1. “Vai mūsu lapa strādā uz PHP?” WordPress, Drupal, Joomla un Magento strādā uz PHP; Sansec min arī Laravel un Symfony.
2. “Kura PHP versija ir uz servera?” Atbildei jābūt konkrētam skaitlim, nevis “jaunākā”.
3. “Vai uz servera uzstādītā versija ir vismaz savas sērijas labotais laidiens: 8.5.x → 8.5.12, 8.4.x → 8.4.27, 8.3.x → 8.3.36, 8.2.x → 8.2.35?” Ja skaitlis zemāks, darbs nav pabeigts. Ja PHP nāk no Linux piegādātāja pakotnes, versijas numurs var atšķirties; tad lūdz apstiprināt, ka šis drošības labojums ir iekļauts.
4. “Vai tas ir atjauninājums, vai tikai iestatījuma maiņa?” Iestatījuma maiņa pati par sevi nav pabeigts darbs.
5. Ja versija ir 7.3 vai vecāka: PHP projekts šīm versijām labojumu neizdod nekādā veidā, ne laidienu, ne pirmkoda labojumu (Tenable, CIQ). Jāpāriet uz atbalstītu versiju vai jāprasa labojums pašam piegādātājam, ja tas to piedāvā.
6. Ja versija ir no 7.4 līdz 8.1: PHP projekts šīm versijām atjauninājumus vairs neizdod. Izdoti minimāli pirmkoda labojumi 7.4, 8.0 un 8.1, bet tie paredzēti tiem, kas PHP kompilē paši vai kam nav piekļuves ilgtermiņa atbalsta piegādātājam. Mūsu vērtējums: tas ir atsevišķs darbs, kas jāieplāno, nevis piecu minūšu jautājums.

Ja atjaunināt šodien nevar, Apvienotās Karalistes Nacionālais kiberdrošības centrs (NCSC) aicina apsvērt sistēmu atslēgšanu no interneta, kamēr tā nav salabota (Help Net Security). Tehniskos pagaidu iestatījumus izstrādātājam sniedz PHP paziņojums; tie pilnu aizsardzību nedod.

Pēc atjaunināšanas pajautā par atslēgām: ja serverī glabājas paroles un atslēgas (maksājumu, e-pasta vai citu pakalpojumu), pajautā, vai tās nav jāmaina, jo Wiz raksta, ka nolasāmā atmiņa var tādus datus saturēt. Tas ir mūsu piesardzības ieteikums.

Avoti

• Security advisory: Critical remote code execution vulnerabilities, update now — PHP.net (21.10.2026)
• PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research (21.10.2026)
• PHP2Shell: Critical PHP vulnerabilities patched, update now! — Help Net Security (21.10.2026)
• PHP2Shell: frequently asked questions — Tenable (21.10.2026)
• PHP2Shell: critical vulnerabilities in PHP — Datadog Security Labs (21.10.2026)
• PHP2Shell: Critical PHP RCE — Sansec (21.10.2026)
• PHP2Shell mitigation — CIQ (21.10.2026)