PHP-haavoittuvuudet edellyttävät yrityksiltä PHP-ajoympäristön korjaustilanteen ja päivitysvastuiden varmistamista. PHP:stä on raportoitu kaksi kriittistä haavoittuvuutta. Yrityksen kannattaa valmistautua korjausten asentamiseen heti niiden saatavuuden varmistuttua, sillä pelkkä verkkosivuston tai WordPressin päivittäminen ei päivitä palvelimen PHP-ohjelmistoa.
Suomi Solutionsin palveluissa käytetään vain tuettuja PHP-versioita. Kun käytössä olevan version tuki päättyy, asiakkaiden PHP-versiot päivitetään uusiin tuettuihin versioihin osana palvelua. Asiakkaan ei tarvitse hankkia version uusimista erillisenä työnä. Myös tuettu PHP-versio voi kuitenkin tarvita uuden tietoturvakorjauksen, joten version elinkaaren hallinta ja yksittäisen haavoittuvuuden korjaaminen ovat kaksi erillistä ylläpitotehtävää.
Mitä PHP-haavoittuvuuksista tiedetään?
PHP on palvelimella toimiva ohjelmointikieli, jota käytetään esimerkiksi WordPress-, Drupal-, Joomla- ja Magento-verkkopalveluissa. PHP-ajoympäristö suorittaa sovelluksen koodia ja käsittelee esimerkiksi kirjautumisia, lomakkeita ja verkkokaupan toimintoja.
Raportoitujen haavoittuvuuksien on kuvattu voivan mahdollistaa koodin suorittamisen palvelimella ilman kirjautumista. Onnistunut hyväksikäyttö voisi vaarantaa verkkopalvelun tietoja, mahdollistaa sisällön muuttamisen tai johtaa palvelinympäristön laajempaan vaarantumiseen. Tarkkoja haavoittuvia versioita ja hyväksikäytön edellytyksiä ei kuitenkaan ole vahvistettu käytettävissä olevissa tiedoissa.
Korjausten ilmoitettu julkaisuajankohta on 21.10.2026 kello 17 Suomen aikaa. Kyse on ilmoitetusta suunnitelmasta, ei vahvistuksesta korjausten tämänhetkisestä saatavuudesta. Julkaistu korjaus, sen kattamat versiot ja oman palvelinympäristön päivityspaketit on tarkistettava PHP:n virallisista julkaisutiedoista ja ohjelmistopakettien toimittajalta.
Aktiivisesta hyväksikäytöstä on ollut ristiriitaisia tietoja. Haavoittuvuusuutinen ei itsessään tarkoita, että yrityksen palveluun olisi murtauduttu, mutta epävarmuus hyökkäystilanteesta ei ole peruste viivyttää korjaamiseen valmistautumista.
Valtori on ilmoittanut rajoittavansa valtionhallinnon julkisten verkkopalvelujen sisääntulevaa liikennettä varotoimena. Valtorin mukaan toimenpide ei johtunut havaitusta tietomurrosta. Vakava haavoittuvuus voi siis vaikuttaa palvelujen saatavuuteen myös suojaustoimien vuoksi.
Tarkoittaako tuettu PHP-versio, että palvelu on suojattu?
Tuettu PHP-versio ja tietoturvakorjattu PHP-asennus eivät tarkoita samaa asiaa. Tuettu versio kuuluu ylläpidon piiriin ja voi saada tietoturvakorjauksia. Suojaus tiettyä haavoittuvuutta vastaan edellyttää lisäksi, että tarvittava korjaus on asennettu ja käytössä.
Pelkkä versiohaaran nimi, esimerkiksi PHP 8.3, ei osoita yksittäisen korjauksen tilannetta. Tarkistuksessa tarvitaan täsmällinen versio tai ohjelmistopaketin korjaustiedot. Linux-jakelun toimittaja voi myös sisällyttää korjauksen omaan pakettiinsa muuttamatta PHP:n pääversionumeroa.
Suomi Solutionsin palvelumallissa PHP:n tuen päättymistä ei jätetä asiakkaan seurattavaksi. Käytössä on vain tuettuja versioita, ja niiden uusiminen tuen päättyessä sisältyy palveluun. Tämä poistaa asiakkaalta erillisen versionvaihtotyön tilaamisen tarpeen. Muiden palveluntarjoajien käytännöt vaihtelevat, joten PHP:n elinkaaren ylläpito kannattaa varmistaa omasta palvelusopimuksesta.
Suomi Solutionsin käytännön painotus on erottaa toisistaan kolme tarkistusta: onko versio tuettu, onko kyseinen korjaus asennettu ja toimiiko asiakkaan verkkopalvelu muutoksen jälkeen. Yksikään näistä ei yksin korvaa kahta muuta.
Korjaako WordPressin automaattinen päivitys PHP-haavoittuvuudet?
WordPressin automaattinen päivitys ei itsessään päivitä palvelimen PHP-ajoympäristöä. WordPress, lisäosat ja teemat muodostavat sovelluskerroksen. PHP kuuluu niitä suorittavaan palvelinympäristöön, jonka päivittämisestä vastaa yleensä hosting-palveluntarjoaja tai palvelimen ylläpitäjä sovitun vastuunjaon mukaisesti.
Yrityksen arjessa ero voi jäädä huomaamatta: WordPressin hallinta voi näyttää ohjelmiston olevan ajan tasalla, vaikka palvelimen PHP-päivitys olisi vielä tekemättä. Siksi ylläpitäjältä kannattaa pyytää nimenomaan PHP:n korjaustilanteen vahvistus, ei vain yleistä ilmoitusta sivuston päivittämisestä.
Suomi Solutions auttaa yhdistämään palvelinympäristön päivitystarpeen arvioinnin ja WordPress-sivuston yhteensopivuuden tarkistamisen. Päivityksen jälkeen olennaisia testattavia toimintoja ovat kirjautuminen, yhteydenottolomakkeet, verkkokaupan tilauspolku ja integraatiot. Toimiva etusivu ei vielä osoita, että kaikki liiketoiminnalle tärkeät toiminnot toimivat.
Mitä yrityksen kannattaa tehdä nyt?
Ensimmäinen tehtävä on selvittää, missä PHP:tä käytetään ja kuka vastaa tarvittavista korjauksista. Suomi Solutionsin asiakkaiden ei tarvitse tilata palveluun kuuluvia PHP:n elinkaaripäivityksiä erikseen. Mahdolliset muualla ylläpidetyt verkkopalvelut, testiympäristöt ja erilliset sovellukset on silti huomioitava yrityksen kokonaiskuvassa.
- Kartoita PHP-ympäristöt. Selvitä tuotanto-, testi- ja kehitysympäristöjen tarkat versiot sekä niiden ylläpitäjät.
- Varmista korjaus ja toteuttaja. Tarkista, mikä julkaistu päivitys korjaa haavoittuvuudet ja milloin se voidaan asentaa omaan ympäristöön.
- Valmistele palautuminen. Varmista varmuuskopioiden ajantasaisuus ja palautusmahdollisuus ennen muutosta.
- Asenna vahvistettu korjaus viipymättä. Tarkista päivityksen jälkeen käytössä oleva versio, keskeiset asiakastoiminnot ja virhelokit.
- Seuraa poikkeamia. Jos lokeissa tai sivuston toiminnassa näkyy epäilyttäviä muutoksia, käynnistä tietoturvapoikkeaman selvitys. Pelkkä päivittäminen ei poista mahdollista aiempaa murtoa.
Pitääkö verkkopalvelu sulkea korjausta odotettaessa?
Palvelun tilapäinen sulkeminen tai julkisen liikenteen rajaaminen voi olla tarpeen, jos ympäristö on haavoittuva eikä riskiä voida muuten hallita. Ratkaisu tehdään ajantasaisten viranomais- ja valmistajaohjeiden, oman ympäristön altistumisen sekä liiketoimintavaikutusten perusteella. Pelkkä PHP:n käyttö ei yksin ratkaise sulkemistarvetta.
Väliaikaiset palomuurisäännöt ja käyttörajoitukset eivät korvaa korjauspäivitystä. Jos suojaustoimet aiheuttavat käyttökatkon, asiakkaille kannattaa kertoa selkeästi sen vaikutuksista ja siitä, onko kyse varotoimesta vai havaitusta tietoturvapoikkeamasta.
Suomi Solutions auttaa arvioimaan tarvittavat rajoitukset ja sovittamaan päivityksen verkkopalvelun tärkeisiin toimintoihin. Tuettujen PHP-versioiden ylläpito ja niiden uusiminen tuen päättyessä kuuluvat palveluun, mutta tämän haavoittuvuustilanteen korjaustilanne varmistetaan erikseen. Jos oman palvelusi vastuut tai päivitysten tila mietityttävät, ota yhteyttä Suomi Solutionsiin, jotta seuraavat toimet voidaan kohdistaa oikeaan ympäristöön.
