PHP tiek izmantots daudzās tīmekļa vietnēs, interneta veikalos un klientu portālos. Tāpēc ievainojamības šajā programmēšanas valodā var skart plašu sistēmu loku — īpaši tās, kas pieejamas internetā.
2026. gada 21. oktobrī tika ziņots par divām kritiskām PHP ievainojamībām — CVE-2026-109618 un CVE-2026-109619. Tās var ļaut uzbrucējam bez autentifikācijas attālināti izpildīt kodu neaizsargātā serverī. Ievainojamību smagums novērtēts ar 9,2 no 10 CVSS skalā. CERT.LV paziņojums un ENISA kopīgais paziņojums.
Kuras sistēmas var būt apdraudētas?
Ievainojamības skar PHP versijas, sākot ar PHP 5, kā arī vairākus veidus, kā PHP apstrādā tīmekļa pieprasījumus, tostarp PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed.
Tas nenozīmē, ka ikviena vietne, kas izmanto PHP, ir kompromitēta. Tomēr sistēmu uzturētājiem nekavējoties jāpārbauda, kāda PHP versija darbojas serverī un vai tai ir uzstādīti attiecīgie drošības labojumi.
Kā aizsargāt savu vietni vai uzņēmuma sistēmu?
PHP izstrādātāji ir izlaiduši drošības atjauninājumus. CERT.LV norāda uz labotajām versijām 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Pirms atjaunināšanas pārbaudiet arī sava hostinga pakalpojumu sniedzēja vai Linux distribūcijas paziņojumus — labojumi var tikt izplatīti kā pakotņu atjauninājumi.
Ieteicamā rīcība:
- 1. Noskaidrojiet, kurās sistēmās tiek izmantots PHP. Pārbaudiet publiskās vietnes, interneta veikalus, klientu portālus un citus interneta lietotņu serverus.
- 2. Pārbaudiet PHP versiju un ieviesiet drošības atjauninājumus. Ja serveri uztur ārpakalpojuma sniedzējs, sazinieties ar to un lūdziet apstiprināt, ka labojumi ir uzstādīti.
- 3. Pievērsiet īpašu uzmanību novecojušām versijām. Ja izmantotajai PHP versijai vairs nav ražotāja atbalsta, plānojiet pāreju uz atbalstītu laidienu.
- 4. Ja atjaunināšana nav iespējama, ierobežojiet piekļuvi. Līdz risku novēršanai nepieļaujiet ievainojamās sistēmas publisku pieejamību internetā. Papildu mazināšanas pasākumi neaizstāj drošības atjauninājumus.
Ko tas nozīmē uzņēmumiem Latvijā?
CERT.LV ziņoja, ka Latvijā bija identificēti aptuveni 6000 potenciāli ietekmētu resursu, tostarp daži simti valsts sektorā. Tika konstatēti automatizēti mēģinājumi izmantot PHP ievainojamības, bet publikācijas papildināšanas brīdī nebija ziņu par sekmīgiem uzbrukumiem Latvijā. CERT.LV jaunākā informācija.
Valsts iestādēm uz laiku tika piemēroti piekļuves ierobežojumi no ārvalstīm, kamēr sistēmās tika ieviesti drošības atjauninājumi. Šādi ierobežojumi ir pagaidu aizsardzības solis. Ilgtermiņā svarīgi ir uzturēt programmatūru atjauninātu un zināt, kuras publiski pieejamās sistēmas izmanto PHP.
Ja jūsu uzņēmuma vietne vai lietotne darbojas ar PHP, sazinieties ar IT uzturētāju vai hostinga pakalpojumu sniedzēju un noskaidrojiet, vai nepieciešamie labojumi ir ieviesti. Rīkojoties savlaicīgi, iespējams mazināt risku datiem un pakalpojumu nepārtrauktībai.
