Kriittiset PHP‑haavoittuvuudet vaarantavat miljoonien verkkosivustojen turvallisuuden ympäri maailmaa

Päivitetty 23.10.2026.

Tietoturvatutkijat ovat löytäneet kaksi kriittistä PHP-haavoittuvuutta, jotka voivat mahdollistaa etäkoodin suorituksen verkkopalvelimilla. Tekoälyllä oli merkittävä rooli haavoittuvuuksien tunnistamisessa ja niiden vakavuuden osoittamisessa. Kymmeniä yrityksiä ja julkisia palveluja ympäri maailmaa sulki väliaikaisesti verkkosivunsa, kun korjaukset asennettiin. Samaan aikaan Cloudflare on kirjannut miljoonia hyödyntöyrityksiä, ja määrän arvellaan yhä kasvavan.

Kymmeniä sivustoja suljettu useissa maissa — Cloudflare raportoi miljoonia hyödyntöyrityksiä

21.10.2026 useiden maiden valtion verkkopalvelut ja verkkopalvelut alkoivat sulkea toimintojaan hätävarotoimenpiteenä. Syynä olivat kaksi kriittistä haavoittuvuutta PHP:ssa, ohjelmointikielessä jonka avulla noin 70 % maailman verkkosivustoista toimii. Haavoittuvuudet, nimettyinä CVE-2026-109618 ja CVE-2026-109619 ja tunnettuina yhteisnimellä PHP2Shell, voivat tietyissä olosuhteissa antaa hyökkääjille mahdollisuuden suorittaa haitallista koodia etänä palvelimilla.

Alankomaissa valtion sähköiset asiointipalvelut olivat väliaikaisesti poissa käytöstä, ja myös useita suomalaisten viranomaisten palveluja vaikutti ulkomaille levinnyt häiriö. Vastaavia toimenpiteitä tehtiin Ranskassa, Saksassa, Belgiassa ja muissa maissa. Sulut koskivat myös sairaaloiden, oppilaitosten ja yksityisten yritysten verkkosivuja.

Organisaatiot rajoittivat sivujensa julkista pääsyä suojellakseen niitä mahdollisilta hyökkäyksiltä, kunnes suojauspäivitykset saatiin asennettua. Huoli oli perusteltu: kyberrikolliset olivat jo yrittäneet hyödyntää haavoittuvuuksia ennen julkista ilmoitusta. Kymmenen tuntia ennen virallista tiedotusta Cloudflare kirjasi useita tuhansia hyödyntöyrityksiä. Julkistuksen jälkeen haitallinen toiminta lisääntyi jyrkästi. Ensimmäisten 45 minuutin aikana yrityksiä kirjattiin kymmeniä tuhansia, kahden tunnin kohdalla luku oli satoja tuhansia ja 22.10. mennessä kirjattuja yrityksiä oli miljoonia.

AI auttoi osoittamaan PHP-haavoittuvuuden vakavuuden, joka tunnistettiin alun perin vuonna 2024

PHP-kehittäjät huomasivat ensimmäiset merkit yhdestä haavoittuvuudesta jo vuonna 2024. Riippumattoman tietoturva-auditoinnin jälkeen tutkijat tunnistivat muistinhallintaan liittyvän ongelman ja epäilivät sen olevan mahdollisesti hyödyntävissä. Tuolloin he eivät kuitenkaan pystyneet osoittamaan, että haavoittuvuus johtaisi etäkoodin suoritukseen. Korjauksen tekemistä lykättiin, koska muutokset olisivat voineet rikkoa PHP:n yhteensopivuutta muiden osien kanssa, ja pieni kehitystiimi ei tarvittavia resursseja ongelman ratkaisemiseksi.

Tilanne muuttui vuoden 2026 kesällä, kun tekoäly otettiin mukaan tutkintaan. 11.8.2026 eräs Kaliforniassa työskentelevä tutkija käytti GPT-5.6 Sol -mallia vahvistaakseen, että haavoittuvuus voi mahdollistaa kirjautumattoman etäkoodin suorituksen palvelimella. Tutkija raportoi havainnot PHP:n kehittäjille. Samana päivänä OpenAI itsenäisesti toimitti raportin jossa sama ongelma tunnistettiin. Myöhemmin Wiz-tutkijat esittelivät omat löydöksensä, käyttäen useita AI-työkaluja, mukaan lukien Gemini 4 Argon. Nämä AI-mallit auttoivat tutkijoita analysoimaan lähdekoodia, kehittämään PoC‑näytteitä (proof‑of‑concept) ja testaamaan mahdollisia korjauksia.

Kun tutkijat osoittivat haavoittuvuuksien vakavuuden, niiden korjaamisesta tuli prioriteetti PHP-säätiölle. 21.10.2026 PHP-ylläpitäjät julkaisivat korjatut versiot: 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Molemmat haavoittuvuudet, kumpikin vakavuusarvioinnilla 9,2/10, korjattiin näissä julkaisuissa.

Kuinka suojata verkkosivusi PHP2Shell-aikakaudella

Tekoäly auttaa tietoturvatutkijoita löytämään ohjelmistovirheitä nopeammin, mukaan lukien vuosia huomaamatta olleet heikkoudet. Esimerkiksi noin 2 700 kriittistä haavoittuvuutta löydettiin maailmanlaajuisesti vuoden 2026 toisella neljänneksellä, mikä oli 34 % enemmän kuin edellisvuoden vastaavalla jaksolla. Asiantuntijat yhdistävät osan tästä kasvusta AI:n laajentuvaan käyttöön, joka mahdollistaa suurten lähdekoodimäärien tehokkaamman analysoinnin.

Samalla myös kyberrikolliset voivat hyödyntää AI:a tutkiakseen uusia haavoittuvuuksia ja kehittääkseen hyökkäysmenetelmiä nopeammin. Tästä syystä organisaatioilla on yhä lyhyempi aika haavoittuvuuden julkistamisen ja ensimmäisten hyödyntöyritysten välillä.

Verkkosivujen turvallisuuden parantamiseksi sivustojen omistajien ja palvelimen ylläpitäjien tulisi tehdä seuraavat toimenpiteet:

• Seuraa tietoturvajulkaisuja ja asenna päivitykset viipymättä. Kun kriittinen haavoittuvuus paljastuu, asianmukaisen suojauspäivityksen asentaminen mahdollisimman nopeasti on välttämätöntä. PHP2Shell‑tapauksessa sivuston omistajien tulee päivittää PHP turvalliseen versioon. Jos välitön päivitys ei ole mahdollista, rajoita väliaikaisesti julkista verkkoyhteyttä haavoittuviin palveluihin.
• Suojaa sivustot hyödyntöyrityksiltä. Käytä web‑sovellustulkinnoita (WAF, engl. web application firewall) eli sovelluskerroksen palomuureja analysoimaan saapuvia pyyntöjä ja estämään haitallinen liikenne. Esimerkiksi Kasperskyn WAF hyödyntää koneoppimista ja suodatussääntöjä tunnistaakseen epäilyttävät pyynnöt, mukaan lukien yritykset hyödyntää verkkosovellusten haavoittuvuuksia. Tämä suoja vähentää hyökkäysriskiä korjausten asennuksen ajaksi.
• Valvo palvelinten turvallisuutta ja ohjelmistoversioita. Tarkista säännöllisesti asennettujen ohjelmistojen versiot, myös harvoin käytetyt tai vanhemmat sovellukset ja palvelut. Tämä auttaa löytämään järjestelmiä, jotka ovat saattaneet jäädä ilman tärkeitä tietoturvapäivityksiä.

Aiheeseen liittyvät artikkelit:

• Mikä on nollapäivähyökkäys? Määritelmä ja selitys
• Miten tekoäly ja koneoppiminen muokkaavat kyberturvallisuuden tulevaisuutta
• Mitä verkkouhat ovat?

Suositellut tuotteet:

• Kaspersky Premium
• Lataa ilmainen 30 päivän kokeilu Kaspersky Premiumista
• Kaspersky Small Office Security