Lühidalt: PHP turvaaukudest teatatakse konfidentsiaalselt, eelistatult GitHubi hoidla php/php-src privaatse advisory vormi kaudu, alternatiivina aadressile security@php.net. PHP arendajad hindavad leiu kõrgeks, keskmiseks või madalaks; rasked vead parandatakse eraldi turvahoidlas ja avaldatakse alles väljalaskega koos GitHub Security Advisory ja enamasti CVE-numbriga. PHP2Shelli puhul kulges see protsess kiirkorras: eelteade 20.10.2026, paigad 21.10.2026, täiendav märkus 23.10.2026.
Kes PHP-s turvalisusega tegeleb?
PHP on avatud lähtekoodiga projekt. Wiki turvapoliitika kirjeldab seda vabatahtlike projektina, kus preemiateks eelarvet ei ole. Iga versiooni jaoks on release-managerid, kes vastutavad väljalaskete eest. Lisaks tuleb PHP Foundation, mis oma kirjelduse järgi tellib osaajaga ja täisajaga arendajate meeskonna, kes töötab PHP hoolduse, turvalisuse ja uute funktsioonide kallal.
Ettevõtetele tähendab see: puudub tootja lepingu, infoliini või tagatud reaktsiooniaegadega. Kes vajab siduvaid lubadusi, saab need oma Linuxi distributsioonilt, majutajalt või pikaajalise toe pakkujalt, mitte PHP projektilt endalt. Seda tarneahelat peaksite tundma.
Kuidas turvaaugust teatatakse
Tee on kirjeldatud GitHubi turvapoliitikas:
- Teatamine: hoidla
php/php-srcprivaatse Security Advisories vormi kaudu. Kes seda kasutada ei saa või soovib arutada teemat, mis ei ole veateade, kirjutab aadressile security@php.net. - Lühike kirjeldus: Soovitakse lühikest näidet, mis vea nähtavale toob, mitte pikka aruannet võimalike mõjude kohta. Nii saab meeskond kiiremini läbi vaadata.
- Konfidentsiaalsus: Teade jääb avaldamiseni privaatseks.
- Nimetamine: Teatajad nimetatakse MITRE krediidisüsteemi järgi kaasautoritena.
Vanem wiki-leht nimetab lisaks klassikalist vigade jälgijat tüübiga „Security“. Praegu on otsustav tee GitHubi kaudu.
Mida PHP projekt turvaauguks peab
Mitte iga krahh ei ole turvaauk. Wiki nimetab nelja kriteeriumi: viga võimaldab volitamata tegevusi, ületab turvapiire, avab ligipääsu võõrastele andmetele või kahjustab raskelt kättesaadavust või jõudlust. Hinnatakse kolmel tasemel:
| Tase | Tähendus poliitika järgi | CVE-number |
|---|---|---|
| Kõrge | kolmandad isikud saavad kompromiteerida enamiku paigaldusi, käivitada koodi või lugeda faile | tavaliselt jah |
| Keskmine | sarnane mõju, kuid ainult harvemate tingimustega, näiteks haruldane laiendus või seadistus | enamasti jah |
| Madal | teoreetiliselt võimalik, praktiliselt väga raskesti ärakasutatav | enamasti ei |
Sama õpetlik on loetelu sellest, mis selgesõnaliselt turvaauk ei ole: pahatahtlik kood, mida tahtlikult täidetakse, open_basedir ja disable_functions möödapääsemised, pahatahtlikud sisendid funktsioonile unserialize(), FFI kasutamine ja tavaline mälukatkestus, kus memory_limit rakendub ja lõpeb ainult praegune päring. Haldajale tähendab see: disable_functions on mõistlik karastamine, kuid mitte kaitsemüür.
Paranduselt avaldamiseni
Kõrgete ja keskmiste turvaaukude parandused viiakse wiki järgi sisse eraldi turvahoidlas, enne kui väljalase luuakse. Madalaks hinnatud vead käivad nagu tavalised veaparandused. Turvaauk avaldatakse vastutustundliku avalikustamise põhimõttel: kõigepealt parandus, siis üksikasjad. Väljalasked ilmuvad wiki järgi enamasti neljapäeviti, sageli korrapäraste igakuiste väljalaskete raames.
Väljalaskega ilmub GitHub Security Advisory oma tunnuse (GHSA) ja tõsidusastmega. Hoidlas ilmus näiteks 24.09.2026 mitu advisory'd stream wrapperite, FastCGI ja filtrite kohta, tõsidusastmega madalast kõrgeni. Lähtekoodipaketid php.net-is pakutakse SHA-256 kontrollsummadega ja release-managerite GPG-allkirjadega; Git-sildid on allkirjastatud. Millised versiooniharud üldse veel turvaparandusi saavad, näitab leht PHP versioonid ja väljalasketsükkel.
PHP2Shell kui tõsise juhtumi näide
PHP2Shell näitab, kuidas protsess surve all kulgeb:
- 20.10.2026: php.net teatab kriitilisest turvaväljalaskest 21.10.2026 kell 14:00 UTC ja jätab endale õiguse avaldada varem, kui üksikasjad avalikuks saavad või rünnakud ilmnevad. Mitme aruande järgi olid üksikasjad tegelikult enne embargo lõppu teada saanud; taustu valgustab Miks PHP turvaauk sai enne paika teatavaks.
- 21.10.2026: ilmuvad PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35 ning advisory'd GHSA-w8hw-w9fx-j79w (CVE-2026-109618) ja GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), mõlemad kriitilisena hinnatud. php.net andmetel olid Linuxi distributsioonid ja pikaajalise toe pakkujad parandused ette saanud. Versioonidele 7.4, 8.0 ja 8.1 on olemas minimaalsed backport'id.
- 23.10.2026: Informatiivne märkus CVE-2026-115560 kohta soovitab
session.upload_progress.enabled=0; täielik advisory järgneb järgmise väljalaskega.
Mida haldajad sellest järeldavad
- Allikad tellida: php.net,
php/php-srcGitHubi advisory'd ja teie distributsiooni turvateated. - Tarneahelat tunda: Kes tarnib teie PHP paketti ja kui kiiresti jõuavad sinna backport'id?
- Ajaaken planeerida: Kriitilised väljalasked võivad tulla väljaspool tavapärast rütmi; paikamisaken peab olema lühikese etteteatamisega võimalik.
- Taaskäivitus arvesse võtta: Uuendus mõjub alles siis, kui kõik PHP protsessid on uuesti käivitatud.
- Tõend kindlustada: Dokumenteerida versioon, paketiseis ja ajahetk.
Kuidas PHP SOS konkreetselt aitab?
PHP paikamisteenusega võtame enda peale osa, mis lasub teil:
- Teadete jälgimine: Jälgime php.net-i, advisory'sid ja distributsioonide teateid ning hindame, kas teie süsteemid on mõjutatud.
- Paiga rakendamine: Uuendus sobivast allikast, kõigi protsesside taaskäivitus, töötava versiooni kontroll.
- Üleminekuaja kindlustamine: Kus uuendus takerdub, rakendame ametlikud ajutised meetmed.
- Dokumenteerimine: Saate tõendi versioonide, paketiseisude ja ajahetkedega.
Korduma kippuvad küsimused
Kuidas PHP turvaaugust teatada?
Eelistatult GitHubi hoidla php/php-src privaatse Security Advisories vormi kaudu. Kes seda kasutada ei saa, kirjutab aadressile security@php.net. Teade jääb avaldamiseni konfidentsiaalseks.
Kas PHP projekt maksab leitud turvaaukude eest preemiat?
Ei. Turvapoliitika järgi on PHP vabatahtlike projekt, kus puuduvad rahalised vahendid Bug Bounty jaoks. Teatajad nimetatakse siiski kaasautoritena.
Kas disable_functions mööda minemine on turvaauk?
PHP projekti poliitika järgi mitte. open_basedir ja disable_functions möödapääsemisi ei loeta PHP turvaprobleemiks. Sätted on karastamine, kuid mitte usaldusväärne turvapiir.
Kust ma uutest PHP turvaaukudest teada saan?
php.net avalehelt väljalasketeadetest ja GitHubi hoidla php/php-src Security Advisories'est. Kes saab PHP distributsioonist, jälgib lisaks selle turvateateid.
Miks avaldati PHP2Shell kolmapäeval?
Väljalasked ilmuvad wiki järgi enamasti neljapäeviti. PHP2Shelli jaoks teatas php.net 20.10.2026 turvaväljalaskest kolmapäevaks, 21.10.2026, kell 14:00 UTC ja jättis endale õiguse avaldada varem, kui üksikasjad avalikuks saaksid.