Lühidalt: PHP turvaaugust PHP2Shell on mõjutatud harud 8.2 kuni 8.5 kuni 21. oktoobri 2026 väljalasketeni, erialaajakirjanduse andmetel peaaegu kõik versioonid kuni PHP 5.4-ni. See on parandatud versioonides PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemate jaoks ametlikke uuendusi enam pole, on ainult minimaalsed lähtekoodi tagasiportimised versioonidele 7.4, 8.0 ja 8.1.
Milliseid versioone PHP turvaauk on mõjutanud?
PHP2Shell hõlmab kahte turvaauku, CVE-2026-109618 ja CVE-2026-109619, kumbki hinnatud CVSS v4.0 järgi 9,2. Mõlemad lubavad kahjuliku koodi kaugkäivitust ilma sisselogimata. 21. oktoobril 2026 kell 14:00 UTC (16 Saksamaa aja järgi) avaldas PHP projekt parandused kõigile toetatud harudele.
| PHP haru | Viimane seis enne parandust | Parandatud alates | Tugi |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | ametlikult toetatud |
| 8.4 | 8.4.26 | 8.4.27 | ametlikult toetatud |
| 8.3 | 8.3.35 | 8.3.36 | ametlikult toetatud |
| 8.2 | 8.2.34 | 8.2.35 | lõpeb 31.12.2026 |
| 8.1, 8.0, 7.4 | kõik seisud | ametlikku väljalaset pole | ainult minimaalsed lähtekoodi tagasiportimised |
| 7.3 kuni 5.4 | erialaajakirjanduse andmetel peaaegu kõik mõjutatud | uuendust pole | aastaid ilma toeta |
Andmed 8.2 kuni 8.5 kohta pärinevad php.net-i teadetest. Väide versioonide kohta kuni PHP 5.4-ni pärineb erialaajakirjandusest; täielikku ametlikku loendit vanade versioonide kohta ei ole.
Mittetehnikutele mõne lausega: kui teie serveris on versioon veerust „Parandatud alates“ või uuem ja pärast seda on kõik PHP protsessid uuesti käivitatud, on PHP2Shell suletud. Kui seal on vanem number, on kas mängus tagasiportimine, mille teie pakkuja peab kinnitama, või on turvaauk lahti. Küsige kahtluse korral oma IT-lt või veebimajutajalt täpselt nende kolme punkti kohta: versioon, tagasiportimine, taaskäivitus.
Mõjutatud töörežiimid
Versiooninumber on vaid pool vastust. Mõjutatud on kõik tavalised viisid PHP-d veebiserveris kasutada: PHP-FPM, Apache koos mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed. PHP meeskond hindab riski mod_php puhul kõige suuremaks, sest seal näidati ekspluateerimist enne, kui rakenduse kood üldse käivitub. Üksikasjad lehel Miks mod_php kannab suurimat riski.
Rakendusest kaitset ei tule: olgu see WordPress, Shopware, TYPO3, Laravel või oma arendus, rakenduse uuendus PHP turvaauku ei sulge.
Tagasiportimised: kui versiooninumber eksitab
Paljud Linuxi distributsioonid ja veebimajutajad tarnivad PHP-d oma pakettides. Selle asemel et hüpata uuele upstream-versioonile, võtavad nad parenduse oma olemasolevasse versiooni tagasiportimisena. Sellel on praktiline tagajärg: kuvatav number jääb vanaks. Näide praegusest olukorrast on Plesk, mis võib näidata edasi 8.2.34, kuigi viga on parandatud.
Teie jaoks tähendab see: ülaltoodud tabel kehtib php.net-i ametlike väljalaskete kohta. Distributsiooni või veebimajutaja pakettide puhul otsustavad paketi seis ja pakkuja kinnitus. Kuidas mõlemat kontrollida, näitab PHP versiooni ja paigatud seisu õige kontroll. Kiirtestiks käsureal:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, paketinimi sõltub versioonist ja allikast
dnf info php-fpm # RHEL-i perekond
Parandatud versiooninumber kõvakettal ei tähenda veel, et see töötab. Alles kõigi PHP protsesside taaskäivitusega töötab server parandatud koodiga.
Mis kehtib PHP 8.1 ja vanemate kohta?
PHP 8.1, 8.0 ja 7.4 jaoks on ainult minimaalsed lähtekoodi tagasiportimised, see tähendab lähtekoodi parandused, mille keegi peab ise üle võtma ja kompileerima. Ametlikke väljalaskeid ei ilmu. Mõned pikaajalise hooldusega distributsioonid ehitavad selliseid parandusi oma pakettidesse; kas see teie süsteemi kohta kehtib, saab selgitada ainult paketi muudatuslogist või pakkujalt.
Pikas perspektiivis ei pääse toetatud versioonist mööda. Millise PHP versiooni teie CMS või pood kannatab, kontrollige tootja süsteeminõuete järgi, näiteks wordpress.org-il, shopware.com-il või typo3.org-il. Lähemalt lehel PHP 8.1 ja vanemad: mis nüüd kehtib.
Ja CVE-2026-115560?
- oktoobril avaldas php.net märkuse kolmanda turvaaugu kohta. See rakendub ainult ebatavalise sessiooniseadistuse korral. Parandatud versiooni 25. oktoobri seisuga veel pole; kuni järgmise tavapärase veaparanduste väljalaskeni on abinõu
session.upload_progress.enabled=0. Versioonide loendit oodatakse alles täieliku turvasoovitusega (advisory).
Kuidas PHP SOS konkreetselt aitab?
- Inventar: Kaardistame kõik PHP versioonid teie serverites, ka üksikute veebisaitide teisesed paigaldused, mis kipuvad märkamata jääma.
- Võrdlus: Iga paigalduse puhul selgitame, kas on ametlik väljalase, distributsiooni tagasiportimine või parandus puudub.
- Uuendus tõendiga: PHP paikamisteenuse kaudu paigaldame parenduse ja käivitame kõik protsessid uuesti.
- Migratsiooniplaan: Ametlike uuendusteta versioonide jaoks planeerime PHP 8.1 ja vanemate migratsiooniga ülemineku ja kindlustame serveri seniks.
Korduma kippuvad küsimused
Kas PHP 8.3.35 on veel turvaline?
Ei, kui teie pakkuja ei ole tagasiportimist paigaldanud. 8.3.35 on viimane seis enne parandust; PHP2Shell on harus 8.3 parandatud alates 8.3.36. Distributsioonide pakettide puhul võib number jääda samaks, kuigi viga on parandatud. Siis loeb paketi muudatuslogi või pakkuja kinnitus.
Kas PHP 7.4 on PHP2Shelli poolt mõjutatud?
Erialaajakirjanduse andmetel on mõjutatud peaaegu kõik versioonid kuni PHP 5.4-ni. Versioonidele 7.4, 8.0 ja 8.1 on olemas ainult minimaalsed lähtekoodi tagasiportimised ja ametlikke väljalaskeid pole. Üleminek toetatud versioonile on töökindel tee.
Miks näitab Plesk 8.2.34, kuigi on paigatud?
Distributsioonid ja veebimajutajad võtavad parandusi osaliselt tagasiportimisena oma olemasolevatesse pakettidesse. Versiooninumber jääb siis samaks, viga on siiski parandatud. Kontrollige paketi seisu või laske pakkujal paik kinnitada.
Millise PHP versiooni peaksin nüüd valima?
Toetatud versiooni, mille teie rakendus tootja süsteeminõuete järgi heaks kiidab. PHP 8.2 jõuab toe lõppu 31.12.2026; kes nüüd niikuinii vahetab, peaks seda arvestama.