PHP turvauuendus: mida küsida oma veebimajutajalt?

Mis juhtus?

Google Cloudi PHP turvateade käsitleb turvanõrkusi CVE-2026-109618 ja CVE-2026-109619. Google kirjeldab teates ka ründekatseid. See ei tähenda, et sinu veebilehe serverisse oleks sisse murtud või et oht puudutaks kõiki PHP seadistusi ühtemoodi.

Oluline on teada: paranduse paigaldamine ei tähenda veel, et veebileht kasutab parandatud tarkvara. Google selgitab, et vana PHP kood võib serveris edasi töötada ka pärast uuenduse paigaldamist.

Keda see puudutab?

Kui sinu veebileht kasutab PHP-d, palu veebimajutajal kontrollida, kas turvateates kirjeldatud nõrkused puudutavad ka sinu veebilehte. Ainuüksi kujunduse, sisuhaldussüsteemi nime või avalikult nähtava versiooninumbri põhjal ei saa seda kindlaks teha.

Sa ei pea ise serverisse sisse logima ega käske käivitama. Seda peab kontrollima veebimajutaja või serveri haldaja.

Mida veebimajutajalt küsida?

1. Kas turvanõrkused puudutavad minu veebilehe PHP versiooni ja seadistust?
2. Kas parandus on paigaldatud ning veebilehte teenindavad protsessid taaskäivitatud või asendatud?
3. Kuidas on kontrollitud, et veebileht kasutab nüüd parandatud tarkvara?
4. Kas logides või muudes andmetes on märke võimalikust sissemurdmisest?

Võid saata näiteks sellise kirja:

Palun kontrolli Google’i turvateate põhjal minu veebilehe PHP versiooni ja seadistust. Kas parandus on paigaldatud ning veebilehte teenindavad protsessid kasutavad parandatud versiooni? Palun selgita ka, kuidas seda kontrollisid.

Millal ei tohiks serverit kohe taaskäivitada?

Kui on põhjust kahtlustada serverisse sissemurdmist, kaasa enne taaskäivitamist pädev administraator või turvaspetsialist. Google hoiatab, et protsessi taaskäivitamisel kaovad mälus olevad jäljed. Seetõttu tuleb tõendite säilitamine ja teenuse taastamine koos läbi mõelda.

Soovitus ei ole seega „taaskäivita kõik kohe”. Oluline on veenduda, et parandus on kasutusel, ning arvestada võimaliku sissemurdmisega.

Mida saad ise kontrollida?

Loe veebimajutaja teateid ja küsi tehtud töö kohta kirjalikku kinnitust. Üldine veebilehe kontroll ei tõenda, et server on neist turvanõrkustest vaba. Ajakohased juhised ja erandid leiad allpool viidatud algallikatest.