Onko teillä WordPress-sivusto? Tekoäly löysi kriittisiä aukkoja PHP:stä – näin tarkistat, että sivusto on päivitetty

Kaksi kriittistä tietoturva-aukkoa PHP:ssä, kielessä jonka päälle WordPress ja suuri osa kaikista verkkosivustoista on rakennettu, antavat hyökkääjän kaapata verkkopalvelimen kirjautumatta. Aukot löydettiin tekoälyn avulla, ja päivitykset julkaistiin 21. lokakuuta. Amazon on havainnut yrityksiä hyödyntää niitä. Jos yritykselläsi, yhdistykselläsi tai blogillasi on oma sivusto, näin tarkistat, että se on suojattu.

PHP-projekti julkaisi 21. lokakuuta 2026 versiot 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Ne korjaavat kaksi kriittistä haavoittuvuutta, CVE-2026-109618 ja CVE-2026-109619, joita kutsutaan yhdessä nimellä PHP2Shell. Molempien vakavuusluokitus on 9,2/10. PHP-projektin mukaan ne koskevat kaikkia PHP-asennuksia, jotka vastaavat verkkopyyntöihin, ja aukkojen kautta hyökkääjä voi ajaa omaa koodiaan palvelimella kirjautumatta. PHP-projekti kehottaa kaikkia päivittämään heti. Ruotsin CERT-SE varoitti samana päivänä.

Miksi tämä koskee niin monia? PHP on ohjelmointikieli WordPressin, Joomlan ja Drupalin alla, ja tietoturvayhtiö Wizin mukaan 70 prosentin kaikista verkkosivustoista alla. Aukko on itse PHP:ssä, ei WordPressissä. Wiz osoitti pystyvänsä kaappaamaan juuri asennettuja WordPress-, Drupal- ja Joomla-sivustoja, ja WordPress.comin takana olevan Automatticin mukaan WordPressin, teeman tai lisäosien päivittäminen ei suojaa. Palvelimen PHP täytyy päivittää.

Tässä kohtaa tekoäly astuu kuvaan. Virheet ovat olleet olemassa yli kymmenen vuotta, ja ne koskevat versioita aina PHP 5.4:ään asti. Wiz kirjoittaa, että juuri tekoälymallit Gemini 4 Argon ja GPT-5.6 Sol tekivät niiden löytämisestä ja toimivien hyökkäysten rakentamisesta käytännössä mahdollista, mikä Wizin mukaan olisi muuten vienyt asiantuntijatiimiltä kuukausia. Myös tietoturvayhtiö Calif ja OpenAI ilmoittivat virheistä. Amazon varoittaa kääntöpuolesta: tekoäly tekee tietoturvapäivityksen muuttamisesta hyökkäykseksi halvempaa, joten aika päivityksen ja hyökkäyksen välillä lyhenee koko ajan.

Kuinka paha tilanne on juuri nyt? Amazon havaitsi yrityksen hyödyntää aukkoja jo 17. lokakuuta, neljä päivää ennen kuin ne tulivat julki, ja kirjoittaa, että PHP2Shelliä yritetään nyt hyödyntää laajasti. Amazon ei tiedä, olisivatko yritykset onnistuneet oikeita järjestelmiä vastaan. Samaan aikaan tietoturvayhtiö Dataminr raportoi vain skannausta ja toimimattomia hyökkäyksiä eikä yhtään tunnettua murtoa. Paniikkiin ei siis ole syytä, mutta kiire on.

Mitä tämä tarkoittaa sinulle? Jos sivusto on WordPress.comissa, se on Automatticin mukaan jo suojattu, eikä sinun tarvitse tehdä mitään. Jos palvelinta hoitaa tavallinen webhotelli tai verkkotoimisto, päivitys kuuluu niille, mutta pyydä niitä vahvistamaan se. Jos sivusto käyttää PHP 8.1:tä tai vanhempaa, se ei enää saa virallisia päivityksiä, ja myös PHP 8.2 lakkaa saamasta tietoturvapäivityksiä 31. joulukuuta 2026. Silloin on aika siirtyä uudempaan versioon.

Lähteet

• PHP.net: Security advisory: Critical remote code execution vulnerabilities, update now (21 okt 2026) (haettu 2026-10-24)
• CERT-SE: Kritiska sårbarheter i PHP (21 okt 2026) (haettu 2026-10-24)
• Wiz Research: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet (21 okt 2026) (haettu 2026-10-24)
• AWS Security Blog: Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure (21 okt 2026) (haettu 2026-10-24)
• BleepingComputer: Amazon says PHP2Shell exploitation began 4 days before patches (inkl. Dataminr: inga kända intrång) (haettu 2026-10-24)
• Automattic: Your Sites Are Protected Against the PHP2Shell Vulnerabilities (21 okt 2026) (haettu 2026-10-24)

TipAI selittää tekoälyn selkeästi aloittelijoille, perheille ja pienyrityksille. Jokaisessa artikkelissa on lähteet ja "Näin pääset alkuun" -osio.

← Kaikki uutiset · Kokeile TipAI:ta