Koskeeko PHP:n haavoittuvuus sinun sivustoasi?

PHP-ohjelmointikielestä löytyi lokakuussa 2026 kaksi kriittistä haavoittuvuutta, joihin julkaistiin korjaus nopealla aikataululla 21.10.2026. Haavoittuvuudet vaikuttavat käytännössä kaikkiin PHP:llä toteutettuihin verkkopalveluihin, myös WordPress-verkkosivuihin. Ylläpitämiemme sivustojen osalta tilanne on kunnossa, mutta muille kokosimme lyhyen ohjeen oman sivuston tilanteen tarkistamiseen.

Mistä on kyse?

PHP on ohjelmointikieli, jonka varassa toimii suuri osa maailman verkkosivustoista. PHP:n kehittäjät kertoivat 20.10. kahdesta kriittisestä haavoittuvuudesta ja julkaisivat niihin korjauksen 21.10.

Korjaus on saatavilla virallisesti PHP:n versioille 8.2 ja uudemmille, ja korjatut versiot ovat 8.2.35, 8.3.36, 8.4.27 ja 8.5.12. PHP 8.1 ja sitä vanhemmat versiot eivät enää saa päivityksiä virallisia reittejä pitkin, joten niitä käyttävät sivustot kannattaa päivittää tuettuun versioon, vaikka PHP-versioihin on nyt julkaistu korjauspäivityksiä.

Haavoittuvuudet on luokiteltu kriittisiksi, koska ne voivat tietyissä olosuhteissa antaa hyökkääjälle mahdollisuuden ajaa omaa koodiaan sivuston palvelimella. Siksi Kyberturvallisuuskeskus ja EU:n kyberturvallisuusyksikkö CERT-EU kehottavat asentamaan korjauksen mahdollisimman pian.

Miten olemme toimineet omien asiakkaidemme osalta

• Kävimme ylläpitämämme sivustot läpi välittömästi 21.10. aikana ja nostimme tarvittaessa PHP-versiot tuettuihin versioihin, jotta korjaus voitiin asentaa viiveettä.
• Palvelinkumppanimme Seravo otti suojaustoimet käyttöön jo ennen korjauksen julkaisua ja on huolehtinut korjauksen asentamisesta palvelimilleen viipymättä päivityksen julkaisun jälkeen.
• Olemme olleet yhteydessä niihin asiakkaisiin, joiden sivusto on toisella palveluntarjoajalla tai käytti PHP-versiota, jonka tuki on päättynyt.
• Seuraamme tilannetta edelleen ja reagoimme mahdolliseen uuteen tietoon viipymättä.

Näin toimit

Jos sivustosi on ylläpidossamme, sinun ei tarvitse tehdä mitään. Jos sivustosi vaati lisätoimia, olemme jo olleet sinuun yhteydessä.

Jos sivustosi on ylläpidettynä muualla:

1. Selvitä, onko sivustosi toteutettu PHP:llä. WordPress-sivustot ovat, mutta monet sivustorakentajat ja verkkokauppa-alustat eivät.
2. Jos sivustosi käyttää PHP:tä, varmista palveluntarjoajaltasi, että PHP:n korjauspäivitys on asennettu.
3. Mikäli sivuston PHP-korjauspäivitystä ei ole vielä tehty tai voida tehdä, kannattaa palveluntarjoajan kanssa sopia sivuston väliaikaisesta sulkemisesta korjaustoimenpiteiden ajaksi.

Jos saat yhteydenottoja tämän uutisen tiimoilta, älä tartu kiireellisiin tarjouksiin tietoturvatarkastuksista tai pikakorjauksista hätiköiden. Luotettavinta tietoa saat omalta palveluntarjoajaltasi ja Kyberturvallisuuskeskuksen sivuilta.

Kysyttävää sivustostasi? Asiakkaamme tavoittavat tiimin osoitteesta tuki@bang.fi.