PHP korjaa kaksi kriittistä etäkoodin suorittamisen mahdollistavaa haavoittuvuutta, jotka löydettiin edistyneillä tekoälymalleilla

PHP-projekti julkaisi 21. lokakuuta 2026 versiot PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Nämä tietoturvapäivitykset korjaavat kaksi kriittistä haavoittuvuutta, jotka voivat mahdollistaa etäkoodin suorittamisen ilman tunnistautumista ja jotka löydettiin edistyneillä tekoälymalleilla. Koordinoituun haavoittuvuuksien julkistamiseen osallistuivat PHP-projekti, OpenAI, tietoturvatutkimusyritys Calif ja pilvipalveluiden tietoturvayritys Wiz.

Korjatut versiot

PHP-projektin tietoturvatiedotteen mukaan neljässä versiossa korjataan CVE-2026-109618, joka kuvataan etäkoodin suorittamiseksi muistin loppumiseen liittyvän korruption kautta, sekä CVE-2026-109619, joka kuvataan etäkoodin suorittamiseksi vanhentuneen globaalin tilan kautta. PHP:n tietoturvatiimin 20. lokakuuta 2026 julkaisema ennakkoilmoitus arvioi molempien haavoittuvuuksien vakavuudeksi CVSS v4.0 -asteikolla 9,2 ja ilmoitti julkaisun ajankohdaksi 21. lokakuuta kello 14.00 UTC.

Tiedotteen mukaan kaikki PHP-asennukset, jotka käsittelevät verkkopyyntöjä, ovat vaarassa. Niihin kuuluvat PHP-FPM, Apache mod_php:lla, php-cgi, FrankenPHP ja LiteSpeed. Riskiä pidetään suurimpana mod_php:n kohdalla, sillä osoitetun hyökkäyksen voi käynnistää tunnistautumaton pyyntö ennen kuin sovelluksen koodia suoritetaan.

Projektin mukaan haavoittuvuuksien täydellistä torjumista ei ole mahdollista varmistaa ja päivittäminen on ainoa turvallinen vaihtoehto, vaikka se luetteleekin väliaikaisia asetuksia, joilla voi vähentää altistumista tietyille hyökkäysreiteille. Linux-jakelut ja pitkäaikaisen tuen tarjoajat saivat korjaukset ennakkoon. PHP:n tietoturvatiimi toimitti myös vähäiset lähdekoodikorjaukset PHP-versioihin 7.4, 8.0 ja 8.1, joita ei enää päivitetä, ja huomautti, että PHP 8.2:n elinkaari päättyy 31. joulukuuta 2026.

Haavoittuvuudet ja php2shell-hyökkäys

Wizin tutkimuksen teknisessä selvityksessä CVE-2026-109618:n kuvataan käsittävän latauksen edistymisen unserialisoijassa olevan käytön jälkeen vapautetun muistin virheen sekä etäprosessin muistin tietovuodon. CVE-2026-109619:n kuvataan puolestaan käsittävän vakavan virheen jäljitystiedoissa olevan käytön jälkeen vapautetun muistin virheen ja OPcachen tyyppisekaannuksen. Kaikki ovat muistin turvallisuuteen liittyviä ongelmia, jotka johtuvat siitä, miten PHP käsittelee vakavia virheitä, erityisesti muistin loppumiseen liittyviä virheitä, pyyntöjä käsitellessään.

Wizin mukaan haavoittuvuudet koskevat jokaista viimeisen vuosikymmenen aikana julkaistua PHP-versiota vähintään yhden haavoittuvuuden osalta; haavoittuvuus ulottuu aina versioon 5.4 asti. Califin mukaan sen löytämä varhaisin haavoittuva hyökkäysreitti on peräisin PHP 5.4.0:sta. Hyökkäysreittejä on eri versioissa ja SAPI-rajapinnoissa, ja niitä voi aina hyödyntää oletusasetuksilla.

Wiz yhdisti haavoittuvuudet yhdeksi php2shell-nimiseksi hyökkäysskriptiksi ja osoitti, että uusimpia WordPressin, Drupalin ja Joomlan konttikuvia vastaan voi suorittaa koodia etänä ilman tunnistautumista. Lisäksi se osoitti, että PHP-työprosessien muistista voi vuotaa sovelluksesta riippumatta tietoja, kuten salasanoja, tunnistautumistunnuksia, API-avaimia ja varmenteita. Califin selvityksessä kerrotaan, että ennen tunnistautumista tapahtuva etäkoodin suorittaminen vahvistettiin WordPressissä 7.1.2, Drupalissa 11.4.3, Joomlassa 6.1.4, MediaWikissä 1.46.2, Roundcubessa 1.7.4, Magentossa 2.4.9, phpMyAdminissa 5.2.3, Nextcloudissa 35.0.1, Laravelissa 13.11, Symfonyn versiossa 8.1 ja WHMCS:ssä sekä joissakin tapauksissa mielivaltaisissa PHP-skripteissä.

Wizin mukaan PHP:tä käytetään 70 prosentissa kaikista verkkosivustoista, mukaan lukien WordPressissä, Joomlassa, Drupalissa ja Wikipedian MediaWikissä. Se pitää löydöksiä vakavimpien PHP:stä koskaan löydettyjen haavoittuvuuksien joukossa.

Miten edistyneet tekoälymallit löysivät haavoittuvuudet

OpenAI kertoi, että se johti kahden viime kuukauden aikana ylläpitäjistä, tutkijoista ja tietoturvapalvelujen tarjoajista koostuvaa ryhmää haavoittuvuuksien korjaamiseksi. Calif tunnisti kriittisen haavoittuvuuden käyttämällä GPT-5.6 Sol -malliaan osana OpenAI:n Patch the Planet -hanketta, ja Wiz löysi ja ilmoitti molemmista haavoittuvuuksista itsenäisesti. PHP:n ylläpitäjät johtivat korjausten tekemistä ja julkaisua.

Osallistujien aikajanoista käy ilmi, että itsenäiset löydöt tapahtuivat osittain samanaikaisesti. PHP Foundationin mukaan Calif aloitti tarkastuksensa 30. heinäkuuta 2026 ja Califin tutkija Ryan A ilmoitti 11. elokuuta 2026 ehdottomasta etäkoodin suorittamisen mahdollistavasta haavoittuvuudesta. OpenAI ilmoitti itsenäisesti samasta juurisyystä samana päivänä. Califin kertomuksen mukaan se löysi haavoittuvuuden 1. elokuuta 2026, jakoi etäkoodin suorittamisen todentavan konseptikoodin PHP:lle 14. elokuuta 2026, PHP vahvisti haavoittuvuuden 15. elokuuta 2026 ja toisesta virheestä ilmoitettiin 21. elokuuta 2026.

Wiz kertoo löytäneensä ensimmäisen haavoittuvuuden 19. elokuuta 2026 Wiz Atlasin, Gemini 4 Argonin ja GPT-5.6 Solin avulla. Se vahvisti tunnistautumista vaatimattoman koodin suorittamisen Drupalissa 20. elokuuta 2026 ja WordPressissä 21. elokuuta sekä ilmoitti haavoittuvuuksista PHP:n tietoturvatiimille 24. elokuuta 2026. Foundationin mukaan OpenAI lisäsi hyökkäysreittejä 18. syyskuuta 2026. Wizin mukaan PHP tunnusti ilmoitukset ja aloitti koordinoidun korjauksen kehittämisen 21. syyskuuta 2026.

Haavoittuvuuden taustalla olevalla heikkoudella on pitkä historia. Calif kertoo, että Stefan Esser löysi ensimmäisen PHP:n muistirajaan liittyvän etähaavoittuvuuden vuonna 2004, muistin loppumistilannetta kuvaavasta virheestä ilmoitettiin projektille vuonna 2020 ja OSTIFin ja Quarkslabin vuonna 2024 tekemässä tarkastuksessa ongelma löydettiin uudelleen, mutta sen hyödyntämistä ei pystytty osoittamaan. PHP Foundation kirjoitti, että Sovereign Tech Agency rahoitti vuoden 2024 tarkastuksen ja että korjaustyö pysähtyi ja käynnistyi uudelleen useita kertoja kuukausien aikana: ”Emme väitä muuta: viivästys johtui rakenteellisesta epäonnistumisesta.”

OpenAI ilmoitti, että haavoittuvuuksien vakavuuden ja PHP:n laajan käytön vuoksi se pitää tätä yhtenä viime aikojen merkittävimmistä tietoturvaongelmista. Yhtiön mukaan sen tietojen perusteella eturintaman tekoäly löysi haavoittuvuudet ennen hyökkääjiä, mikä avasi sen kutsuman puolustajien aikaikkunan. Yhtiö sitoutui tarjoamaan etulinjan puolustajille miljardin dollarin arvosta tuettua Daybreak-käyttöoikeutta ja julkaisi PHP-version tarkistustyökalun Codex-taitona openai/php2shell-checker-GitHub-arkistossa.

Tietovuoto ja rikkoutunut julkistuskielto

PHP Foundationin mukaan koordinoidun julkistamisen salassapito säilyi kaksi päivää ennen suunniteltua julkaisupäivää. Noin kello 15.00 UTC 20. lokakuuta 2026 kaksi CVE-tunnusta alkoi kiertää verkkokeskustelupalstoilla ja sosiaalisessa mediassa virheellisen julkaisuajan ja väärän, 10,0:n CVSS-pistemäärän kera, mutta teknisiä yksityiskohtia ei vuotanut. PHP-projekti siirsi ennakkoilmoituksen samana päivänä kello 19.30 UTC:hen ja aikaisti julkaisun 22. lokakuuta 2026 kello 14.00 UTC:stä 21. lokakuuta 2026 kello 14.00 UTC:hen. Projektin mukaan jakelijat olivat vielä paketoimassa korjausta.

Noin kello 20.00 UTC 20. lokakuuta Calif julkaisi vahingossa videon, jossa sen konseptitodiste toimi useita kohteita vastaan. Foundationin mukaan videosta levisi kopioita, jotka vauhdittivat erilaisten haavoittuvuuden hyödyntämistä osoittavien konseptitodisteiden kehittämistä 21. lokakuuta. PHP Foundationin mukaan Chainguard rikkoi yksipuolisesti julkistuskieltoa 21. lokakuuta kello 7.41 UTC eli yli kuusi tuntia ennen koordinoitua julkaisua ja julkaisi korjauksen sisältäneet valmiiksi rakennetut levykuvat. PHP:n tietoturvatiimi seurasi vuodon jälkeen esiin tulleita konseptitodisteita, mutta ei havainnut toimivia hyväksikäyttömenetelmiä julkaisuhetkellä eikä julkistamisen yhteydessä.

Viranomaisten välinen koordinointi ja ehdotettu toimintamalli

OpenAI kertoi tehneensä yhteistyötä kumppaneiden kanssa saadakseen mukaan useita Yhdysvaltain hallinnon tahoja, kuten Valkoisen talon Super Intelligence Forcen, kansallisen kyberturvallisuusjohtajan toimiston ja kyberturvallisuus- ja infrastruktuuriviraston, sekä kansainvälisiä kumppaneita. Tavoitteena oli saada tietoturvaohjeet kriittisten organisaatioiden käyttöön. Wiz kertoi tehneensä ennen julkistusta yhteistyötä Google Cloudin, Cloudflaren, AWS:n, Microsoftin, Automatticin, Fastlyn, Akamain, Impervan, Vercelin ja muiden kanssa laatiakseen asiakasohjeita, tunnistussääntöjä ja käyttövalmiita lievennystoimia organisaatioille, jotka eivät pysty päivittämään järjestelmiään heti.

OpenAI julkaisi myös ehdotuksen viisivaiheiseksi toimintamalliksi, jolla vastataan laajasti käytettyjen ohjelmistojen kriittisiin haavoittuvuuksiin: ensin varmistetaan ja korjataan alkuperäisen ohjelmiston haavoittuvuus, annetaan haavoittuvuudesta kärsiville organisaatioille aikaa toimia, koordinoidaan toimia valtiollisten kumppaneiden kanssa, valmistellaan päivitykset kaikkiin haavoittuviin tuotteisiin ja julkaistaan ohjeet, kun korjaus on saatavilla. Yhtiö pyysi tietoturva-alan yhteisöltä palautetta toimintamallista.

PHP Foundation kertoi perustaneensa ekosysteemin tietoturvatiimin toukokuussa 2026 ja palkanneensa Alexandre Daubois’n heinäkuussa 2026 ja Daniel Scherzerin syyskuussa 2026. Tiimi on julkaissut 15 CVE-tunnusta 1. heinäkuuta 2026 lähtien ja käsitellyt samalla yli 100 ilmoitusta, jotka osoittautuivat aiheettomiksi, päällekkäisiksi tai sellaisiksi, ettei niitä voitu toistaa. Säätiö vetosi PHP:tä käyttävien palveluiden yrityksiin, hosting-palveluntarjoajiin, pilvialustoihin, ohjelmistojakelijoihin ja hallituksiin ja pyysi niiltä taloudellista tukea.