Lyhyesti: PHP:n tietoturva-aukot ilmoitetaan luottamuksellisesti, mieluiten GitHub-repositorion php/php-src yksityisellä advisory-lomakkeella, vaihtoehtoisesti osoitteeseen security@php.net. PHP-kehittäjät luokittelevat löydön korkeaksi, keskitasoiseksi tai matalaksi; vakavat virheet korjataan erillisessä tietoturvarepositoriossa ja julkaistaan vasta julkaisun yhteydessä GitHub Security Advisoryn ja yleensä CVE-numeron kanssa. PHP2Shellissä tämä prosessi eteni kiireellä: ennakkoilmoitus 20.10.2026, korjaukset 21.10.2026, täydentävä huomautus 23.10.2026.
Kuka PHP:ssä huolehtii tietoturvasta?
PHP on avoimen lähdekoodin hanke. Wikin tietoturvakäytäntö kuvaa sen vapaaehtoisten hankkeeksi, jolla ei ole budjettia palkkioihin. Jokaiselle versiolle on julkaisuvastaavat (release manager), jotka vastaavat julkaisuista. Lisäksi on PHP Foundation, joka oman kuvauksensa mukaan palkkaa tiimin osa- ja kokoaikaisia kehittäjiä, jotka työskentelevät PHP:n ylläpidon, tietoturvan ja uusien ominaisuuksien parissa.
Yrityksille tämä tarkoittaa: ei ole valmistajaa, jolla olisi sopimus, tukilinja tai taatut vasteajat. Se, joka tarvitsee sitovia lupauksia, saa ne Linux-jakelultaan, palveluntarjoajaltaan tai pitkäaikaistuen tarjoajalta, ei PHP-hankkeelta itseltään. Tämä toimitusketju kannattaa tuntea.
Näin aukko ilmoitetaan
Tie on kuvattu GitHubin tietoturvakäytännössä:
- Ilmoitus: repositorion
php/php-srcyksityisellä Security Advisories -lomakkeella. Jos sitä ei voi käyttää tai halutaan keskustella aiheesta, joka ei ole virheilmoitus, kirjoitetaan osoitteeseen security@php.net. - Kuvaus tiiviisti: Toivotaan lyhyttä esimerkkiä, joka näyttää virheen, ei pitkää selostusta mahdollisista vaikutuksista. Näin tiimi pääsee nopeammin käsiksi asiaan.
- Luottamuksellisuus: Ilmoitus pysyy yksityisenä julkaisuun asti.
- Maininta: Ilmoittajat mainitaan osallistujina MITRE:n credit-järjestelmän mukaisesti.
Vanhempi wiki-sivu mainitsee lisäksi klassisen virheseurannan tyypillä ”Security”. Nykyisin ratkaiseva on GitHubin kautta kulkeva tie.
Mitä PHP-hanke pitää tietoturva-aukkona
Kaikki kaatumiset eivät ole tietoturva-aukkoja. Wiki mainitsee neljä kriteeriä: virhe sallii oikeudettomia toimia, ylittää tietoturvarajoja, avaa pääsyn vieraaseen dataan tai heikentää vakavasti käytettävyyttä tai suorituskykyä. Luokittelu tehdään kolmella tasolla:
| Taso | Merkitys käytännön mukaan | CVE-numero |
|---|---|---|
| Korkea | Kolmannet osapuolet voivat vaarantaa useimmat asennukset, suorittaa koodia tai lukea tiedostoja | yleensä kyllä |
| Keskitaso | samanlainen vaikutus mutta vain harvinaisemmissa olosuhteissa, esimerkiksi harvinainen laajennus tai konfiguraatio | enimmäkseen kyllä |
| Matala | teoriassa mahdollinen, käytännössä erittäin vaikea hyödyntää | enimmäkseen ei |
Yhtä valaiseva on luettelo siitä, mikä nimenomaisesti ei ole tietoturva-aukko: tahallaan suoritettu haitallinen koodi, open_basedir- ja disable_functions-asetusten kiertäminen, haitalliset syötteet funktiolle unserialize(), FFI:n käyttö sekä tavallinen muistin keskeytys, jossa memory_limit tehoaa ja vain käynnissä oleva pyyntö päättyy. Ylläpitäjille se tarkoittaa: disable_functions on järkevää koventamista mutta ei suojamuuri.
Korjauksesta julkaisuun
Korkeiden ja keskitasoisten aukkojen korjaukset kirjataan wikin mukaan erilliseen tietoturvarepositorioon ennen julkaisun luomista. Matalaksi luokitellut virheet kulkevat kuten tavalliset virheenkorjaukset. Aukko julkaistaan vastuullisen julkistamisen periaatteella: ensin korjaus, sitten yksityiskohdat. Julkaisut tulevat wikin mukaan yleensä torstaisin, usein säännöllisten kuukausijulkaisujen yhteydessä.
Julkaisun mukana ilmestyy GitHub Security Advisory omalla tunnisteellaan (GHSA) ja vakavuusasteella. Repositoriossa on esimerkiksi 24.9.2026 ilmestynyt useita advisoryja stream-wrappereista, FastCGI:stä ja suodattimista vakavuusasteilla matalasta korkeaan. Lähdepaketit php.netissä tarjotaan SHA-256-tarkistussummilla ja julkaisuvastaavien GPG-allekirjoituksilla; Git-tunnisteet on allekirjoitettu. Mitkä versiohaarat saavat tietoturvakorjauksia ylipäätään, näyttää sivu PHP-versiot ja julkaisusykli.
PHP2Shell esimerkkinä hätätilanteesta
PHP2Shell näyttää, miten prosessi etenee paineen alla:
- 20.10.2026: php.net ilmoittaa kriittisestä tietoturvajulkaisusta 21.10.2026 klo 14.00 UTC ja pidättää oikeuden julkaista aiemmin, jos yksityiskohdat tulevat julkisiksi tai hyökkäyksiä ilmenee. Useiden raporttien mukaan yksityiskohdat olivat todella tulleet tietoon ennen embargon päättymistä; taustat valottaa Miksi PHP-aukko tuli tunnetuksi ennen korjausta.
- 21.10.2026: Julkaistaan PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35 sekä advisoryt GHSA-w8hw-w9fx-j79w (CVE-2026-109618) ja GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), molemmat luokiteltu kriittisiksi. php.netin mukaan Linux-jakelut ja pitkäaikaistuen tarjoajat olivat saaneet korjaukset etukäteen. Versioille 7.4, 8.0 ja 8.1 on olemassa minimaaliset takaisinporttaukset.
- 23.10.2026: Tiedotteena annettu huomautus haavoittuvuudesta CVE-2026-115560 suosittelee asetusta
session.upload_progress.enabled=0; täydellinen advisory seuraa seuraavan julkaisun yhteydessä.
Mitä ylläpitäjien kannattaa tästä päätellä
- Tilaa lähteet: php.net,
php/php-src-repositorion GitHub-advisoryt ja jakelunne tietoturvatiedotteet. - Tunne toimitusketju: Kuka toimittaa PHP-pakettinne, ja kuinka nopeasti takaisinporttaukset tulevat sinne?
- Suunnittele aikaikkuna: Kriittiset julkaisut voivat tulla tavanomaisen rytmin ulkopuolella; korjausikkunan on oltava mahdollinen lyhyellä varoitusajalla.
- Varaa uudelleenkäynnistys: Päivitys tehoaa vasta, kun kaikki PHP-prosessit on käynnistetty uudelleen.
- Varmista todiste: Dokumentoi versio, pakettitilanne ja ajankohta.
Miten PHP SOS auttaa konkreettisesti?
PHP-korjauspalvelun avulla hoidamme sen osan, joka on teidän vastuullanne:
- Tiedotteiden seuranta: Seuraamme php.netiä, advisoryja ja jakelujen tiedotteita ja arvioimme, koskevatko ne järjestelmiänne.
- Korjauksen toteutus: Päivitys oikeasta lähteestä, kaikkien prosessien uudelleenkäynnistys, käytössä olevan version tarkistus.
- Siirtymän turvaaminen: Missä päivitys viivästyy, otamme käyttöön viralliset väliaikaiset toimenpiteet.
- Dokumentointi: Saatte todisteen, jossa on versiot, pakettitilanteet ja ajankohdat.
Usein kysytyt kysymykset
Miten PHP:n tietoturva-aukko ilmoitetaan?
Mieluiten GitHub-repositorion php/php-src yksityisellä Security Advisories -lomakkeella. Jos sitä ei voi käyttää, kirjoita osoitteeseen security@php.net. Ilmoitus pysyy luottamuksellisena julkaisuun asti.
Maksaako PHP-hanke palkkiota löydetyistä aukoista?
Ei maksa. Tietoturvakäytännön mukaan PHP on vapaaehtoisten hanke, jolla ei ole rahaa bug bounty -palkkioihin. Ilmoittajat mainitaan kuitenkin osallistujina.
Onko disable_functions-asetuksen kiertäminen tietoturva-aukko?
PHP-hankkeen käytännön mukaan ei ole. open_basedir- ja disable_functions-asetusten kiertäminen ei ole PHP:n tietoturvaongelma. Asetukset ovat koventamista mutta eivät luotettava tietoturvaraja.
Mistä saan tiedon uusista PHP-tietoturva-aukoista?
php.netin etusivulta julkaisutiedotteista ja php/php-src-repositorion GitHub Security Advisories -ilmoituksista. Jos PHP tulee jakelusta, seuraa lisäksi sen tietoturvatiedotteita.
Miksi PHP2Shell julkaistiin keskiviikkona?
Julkaisut tulevat wikin mukaan yleensä torstaisin. PHP2Shellille php.net ilmoitti 20.10.2026 tietoturvajulkaisusta keskiviikoksi 21.10.2026 klo 14.00 UTC ja pidätti oikeuden julkaista aiemmin, jos yksityiskohdat tulisivat julkisiksi.