PHP ievainojamības un attiecīgie drošības pasākumi

Vispārējā informācija
2026. gada 21. oktobrī tika publiskota informācija par divām kritiskām PHP programmatūras ievainojamībām — CVE-2026-109618 un CVE-2026-109619, kas zināmas ar kopējo apzīmējumu PHP2Shell.

Ievainojamības ir klasificētas kā augstas bīstamības, jo tās var ļaut uzbrucējam bez autentifikācijas attālināti izpildīt patvaļīgu kodu. Tas var radīt risku tīmekļa vietņu darbībai, klientu datu drošībai un servera infrastruktūras integritātei.

Ievainojamības skar PHP versijas, sākot no PHP 5 un dažādus PHP pieprasījumu apstrādes risinājumus, tostarp PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed.

PHP izstrādātāji ir publicējuši drošības atjauninājumus, kas novērš minētās ievainojamības. Pēc Kiberincidentu novēršanas institūcijas CERT.LV ieteikumiem, pēc iespējas ātrāk ir jāatjaunina PHP uz labotajām versijām.

Īpaša uzmanība jāpievērš novecojušām un ražotāja neatbalstītām PHP versijām, kurām drošības atjauninājumi var nebūt pieejami.

Kādi drošības pasākumi ir veikti serveru pusē?

• Pirms atjauninājumu iznākšanas ir veikti preventīvi pasākumi atslēdzot uzbrukumā izmantoto funkciju visos serveros un bloķējot pieprasījums ugunsmūrī.

• Pēc atjauninājumu iznākšanas tie uzstādīti visās sistēmās, kurās tie bija pieejami sākot no PHP 7.2 līdz PHP 8.5.

Kāpēc ne vienmēr mainās PHP versijas numurs?

PHP versiju numuri paliek nemainīgi, jo Ubuntu LTS PHP versiju veic drošības ielāpu pārnešanu (backporting), nemainot PHP pamata versiju.

Piemēram: PHP 8.5 atjauninājuma versijas numurs ir 8.5.4-0 Ubuntu 1.5

Kas jāņem vērā klientiem un kādas darbības jāveic?

Lai nodrošinātu pēc iespējas augstāku savu tīmekļa vietņu un lietojumprogrammu drošības līmeni, aicinām klientus veikt šādas darbības.

• Pārbaudiet savas tīmekļa vietnes PHP versiju

• Atjauniniet tīmekļa vietnes programmatūru

Pārbaudiet, vai ir pieejami atjauninājumi šādiem komponentiem:

• satura vadības sistēmai, piemēram, WordPress, Joomla;

• izmantotajām tēmām un spraudņiem;

• interneta veikala programmatūrai un citām PHP lietojumprogrammām;

• individuāli izstrādātiem PHP risinājumiem un to bibliotēkām.

Svarīgi: satura vadības sistēmas vai spraudņu atjaunināšana pati par sevi negarantē, ka serverī izmantotā PHP versija ir droša. Nepieciešams pārbaudīt abus līmeņus.

• Ja izmantojat novecojušu PHP versiju, plānojiet pāreju

Ja jūsu tīmekļa vietne darbojas ar vecu vai ražotāja neatbalstītu PHP versiju (vecāku par 8.2.), aicinām pēc iespējas ātrāk izvērtēt pāreju uz atbalstītu un drošu versiju. Pirms versijas maiņas pārliecinieties par lietojumprogrammas savietojamību.

Vai var tikt ierobežota tīmekļa vietnes pieejamība?

Atsevišķos gadījumos, ja drošības risku nav iespējams nekavējoties novērst ar atjauninājumiem, var būt nepieciešami pagaidu aizsardzības pasākumi, kas ietekmē piekļuvi konkrētiem pakalpojumiem.

Šādi ierobežojumi tiek izmantoti riska mazināšanai un nav uzskatāmi par pastāvīgu risinājumu. To nepieciešamība un ilgums ir atkarīgs no konkrētās sistēmas konfigurācijas, izmantotās programmatūras un pieejamajiem drošības atjauninājumiem. Ja jūsu pakalpojuma darbību ietekmēs kāds no mūsu ieviestajiem drošības pasākumiem, informāciju par to sniegsim atbilstoši konkrētajai situācijai.

_________________

Kritiskās PHP ievainojamības ir nopietns drošības risks, kas skar plašu tīmekļa tehnoloģiju klāstu. Savlaicīga programmatūras atjaunināšana, droša konfigurācija, piekļuves kontrole un regulāra uzraudzība ir būtiski priekšnoteikumi, lai mazinātu iespējamo uzbrukumu risku.

Mēs aicinām visus klientus neatlikt drošības pārbaudes un nepieciešamos atjauninājumus.

Ja nezināt, kāda PHP versija tiek izmantota jūsu vietnē, vai jums nepieciešama konsultācija, lūdzu, sazinieties ar SigmaNet klientu apkalpošanas grupu, rakstot uz info@sigmanet.lv vai web@sigmanet.lv