Kriittisiä PHP-haavoittuvuuksia yritetään käyttää aktiivisesti hyväksi eri puolilla maailmaa, kertoo tietoturvayhtiö Check Point Research. Yhtiön mukaan haavoittuvuuksiin liittyviä hyödyntämisyrityksiä on havaittu maailmanlaajuisesti jo kymmenessä prosentissa organisaatioista. Euroopassa osuus on 14 prosenttia.
Check Point korostaa, että sen käyttämä ”vaikutuksen kohteeksi joutunut” -määritelmä tarkoittaa tässä yhteydessä havaittua hyväksikäyttöyritystä. Luvut eivät siis kerro, kuinka monessa organisaatiossa hyökkääjä on todella onnistunut murtautumaan järjestelmään.
Eurooppa erottuu yhtiön tilastoissa selvästi muista alueista. Pohjois-Amerikassa, Latinalaisessa Amerikassa sekä Aasian ja Tyynenmeren alueella hyödyntämisyrityksiä on havaittu kuudessa prosentissa organisaatioista. Afrikassa osuus on neljä prosenttia.
Maakohtaisesti korkein osuus on Unkarissa, jossa hyödyntämisyrityksiä on Check Pointin mukaan kohdistunut 38 prosenttiin organisaatioista. Tanskassa osuus on 32 ja Itävallassa 28 prosenttia. Ruotsissa ja Romaniassa vastaava luku on 22 prosenttia.
Check Pointin mukaan 16 maailman 18 eniten hyödyntämisyrityksiä kohdanneesta maasta sijaitsee Euroopassa.
Suomessa palveluja suljettiin varotoimena
PHP:n kaksi kriittistä haavoittuvuutta, CVE-2026-109618 ja CVE-2026-109619, mahdollistavat pahimmillaan hyökkääjän oman koodin suorittamisen haavoittuvalla palvelimella etänä.
Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus arvioi molempien haavoittuvuuksien vakavuudeksi 9,2 pistettä kymmenestä ja kehotti ottamaan korjatut PHP-versiot käyttöön viipymättä.
Haavoittuvuus on vaikuttanut jo suomalaisiin palveluihin. Valtion tieto- ja viestintätekniikkakeskus Valtori alkoi keskiviikkona ajaa varotoimena alas valtionhallinnon julkisia internetpalveluja. Verkkouutiset kertoi asiasta aiemmin tällä viikolla.
Myös Ruokavirasto sulki joukon asiointipalveluja PHP-haavoittuvuuksien vuoksi. Virasto painotti, ettei sen palveluissa ollut havaittu haavoittuvuuksien hyväksikäyttöä, vaan sulkeminen tehtiin palvelujen suojaamiseksi.
Verkkouutiset kertoi torstaina tietoturvayhtiö Wizin arvioivan, että PHP-haavoittuvuuksien vaikutuspiirissä voi olla jopa noin 70 prosenttia maailman verkkosivustoista.
Pelkkä WordPress-päivitys ei riitä
Haavoittuvuuksien vakavuutta lisää PHP:n erittäin laaja käyttö. Ohjelmointikieltä käyttävät lukuisat verkkosivustot ja verkkokaupat sekä esimerkiksi WordPressin, Drupalin, Joomlan ja Magenton kaltaiset järjestelmät.
Ongelma sijaitsee itse PHP:tä eikä näissä julkaisujärjestelmissä. Siksi esimerkiksi WordPressin tai sen lisäosien päivittäminen ei Check Pointin mukaan yksin poista haavoittuvuutta. PHP on päivitettävä palvelimella korjattuun versioon.
Korjaukset ovat saatavilla PHP:n versioissa 8.2.35, 8.3.36, 8.4.27 ja 8.5.12. Vanhemmat PHP-versiot voivat jäädä haavoittuviksi, ellei korjausta ole tuotu niihin erikseen.
Check Point varoittaa lisäksi, ettei päivityksen asentaminen poista mahdollista haittaohjelmaa tai muuta jälkeä, jonka hyökkääjä on jo ehtinyt jättää palvelimelle. Organisaatioiden pitäisi siksi tarkistaa järjestelmänsä myös mahdollisen aiemman murtautumisen varalta.
Yhtiön tietoturvajohtaja Alex Spokoiny arvioi erillisessä kirjoituksessaan tekoälyn nopeuttavan aikaa haavoittuvuuden löytymisen ja toimivien hyökkäysten välillä. Hänen mukaansa vielä ei kuitenkaan tiedetä, nouseeko PHP2Shell vaikutuksiltaan lähellekään vuoden 2021 Log4Shell-haavoittuvuutta.