20. lokakuuta PHP:stä löytyi kaksi kriittistä tietoturva-aukkoa. Olemme päivittäneet PHP:n kaikilla Zonerin webhotelli- ja WP.one-alustoilla, myös vanhemmat PHP-versiot. Jos sivustosi on Zonerilla webhotellissa tai WP.one-palvelussa, sinun ei tarvitse tehdä mitään.
Alla kerromme, mistä haavoittuvuuksissa on kyse, mitä teimme ja milloin. Lopussa on ohjeet niille, jotka ylläpitävät omaa palvelinta.
Mitä PHP:ssä tapahtui?
PHP on ohjelmointikieli, jolla toimii suuri osa maailman verkkosivustoista ja verkkopalveluista, esimerkiksi WordPress. PHP:n tietoturvatiimi ilmoitti 20.10.2026 kahdesta kriittisestä haavoittuvuudesta. Korjatut PHP-versiot julkaistiin seuraavana päivänä, 21.10.2026 kello 17 Suomen aikaa.
Haavoittuvuuksien tunnukset ovat CVE-2026-109618 ja CVE-2026-109619. Molemmat saivat vakavuusluokituksen 9,2/10 CVSS-asteikolla, jolla tietoturva-aukkojen vakavuutta arvioidaan. Pahimmillaan hyökkääjä pystyi ajamaan palvelimella omaa koodiaan ilman kirjautumista.
Molemmat aukot liittyvät siihen, miten PHP käsittelee muistia verkkopyyntöjen aikana. Vika on PHP:ssä itsessään, ei minkään yksittäisen palveluntarjoajan ympäristössä. Se koskee PHP-sivustoja kaikkialla maailmassa.
Tekniset tiedot löydät PHP:n virallisesta tietoturvatiedotteesta.
Mitä Zoner teki?
Zoner otti käyttöön tilapäisiä estosääntöjä jo ennen virallisen korjauksen julkaisua ja aloitti PHP-päivitykset viisi minuuttia sen jälkeen, kun korjatut versiot olivat saatavilla.
Emme jääneet odottamaan. Estosäännöt vaikeuttivat aukkojen hyväksikäyttöä alustoillamme siihen asti, kunnes päivitykset oli asennettu. Kun korjaukset tulivat, asensimme ne palvelimillemme alusta kerrallaan.
| Aika | Mitä tapahtui |
|---|---|
| 21.10. klo 14.25 | Julkaisimme tukisivuillamme tiedotteen tulevasta PHP-päivityksestä |
| 21.10. klo 16.00 | Tilapäiset estosäännöt käytössä alustoillamme |
| 21.10. klo 17.00 | PHP julkaisi korjatut versiot |
| 21.10. klo 17.05 | Aloitimme päivitykset |
| 22.10. klo 13.47 | Vahvistimme, että päivitykset on tehty kaikilla alustoilla |
Mitkä PHP-versiot Zoner on päivittänyt?
Zoner on päivittänyt kaikki alustoillaan käytössä olevat PHP-versiot. Vanhemmat versiot (PHP 8.0 ja vanhemmat) on päivitetty kaikilla alustoilla, joilla ne ovat saatavilla.
| Alusta | Päivitetyt PHP-versiot |
|---|---|
| DirectAdmin-webhotellit | PHP 8.1 ja uudemmat |
| cPanel-webhotellit | PHP 5.2 ja uudemmat |
| WP.one-palvelut | PHP 8.1 ja uudemmat |
| Zoner Home -webhotellit | PHP 5.2 ja uudemmat |
| Uudet webhotellit (S-XXL) | PHP 8.2 ja uudemmat |
Vanhojen versioiden päivitys ei ole itsestäänselvyys. PHP-projekti tukee virallisesti vain versioita 8.2, 8.3, 8.4 ja 8.5. Niille julkaistiin korjatut versiot 8.2.35, 8.3.36, 8.4.27 ja 8.5.12. PHP 8.1 ja vanhemmat eivät enää saa PHP:ltä säännöllisiä tietoturvapäivityksiä. Siksi vanhojen versioiden korjaaminen on palveluntarjoajan vastuulla, ja Zonerilla se on nyt tehty.
Pitääkö minun tehdä jotain?
Ei tarvitse, jos sivustosi on Zonerin webhotellissa tai WP.one-WordPress-palvelussa. Päivitimme PHP:n puolestasi. Päivitys tehtiin sivustosi nykyiseen PHP-versioon, emmekä vaihtaneet sivustojen PHP-versioita automaattisesti.
Yksi asia kannattaa silti laittaa kalenteriin. PHP 8.2:n tietoturvatuki päättyy 31.12.2026. Jos sivustosi käyttää PHP 8.2:ta tai sitä vanhempaa versiota, suosittelemme siirtymistä uudempaan versioon seuraavien viikkojen aikana. Tällä kertaa myös vanhoille versioille saatiin korjaukset, mutta siihen ei voi luottaa joka kerta.
Testaa vaihto ensin. Vanhat WordPress-lisäosat ja -teemat eivät aina toimi uusimmalla PHP-versiolla, joten ota varmuuskopio ennen muutosta ja tarkista sivuston toiminta heti vaihdon jälkeen.
Mitä teen, jos ylläpidän omaa virtuaalipalvelinta?
Suosittelemme, että päivität PHP:n heti. Jos ylläpidät itse omaa virtuaalipalvelinta, vastaat sen ohjelmistoista itse, eikä Zoner ole päivittänyt PHP:tä puolestasi.
Korjatut PHP-versiot ovat:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Tarkista myös, käyttääkö jokin palvelimesi ohjelmisto PHP:tä, vaikka et olisi asentanut sitä itse. Moni hallintapaneeli ja sovellus tuo PHP:n mukanaan.
Jos et pysty päivittämään heti, PHP:n tietoturvatiedotteessa on lueteltu tilapäisiä asetuksia, jotka pienentävät riskiä. Ne eivät korvaa päivitystä.
Usein kysytyt kysymykset
Koskeeko PHP-haavoittuvuus vain Zonerin asiakkaita?
Ei koske. Tietoturva-aukot ovat PHP-ohjelmointikielessä itsessään, joten ne koskevat PHP-sivustoja kaikilla palveluntarjoajilla ympäri maailmaa. Jokaisen PHP:tä käyttävän palveluntarjoajan ja palvelimen ylläpitäjän pitää asentaa korjatut versiot. Zonerin webhotelli- ja WP.one-alustoilla päivitykset on tehty.
Muuttuiko sivustoni PHP-versio päivityksessä?
Ei. Zoner asensi tietoturvakorjauksen sivustosi nykyiseen PHP-versioon. Emme siirtäneet sivustoja automaattisesti uudempaan PHP-versioon, joten sivustosi toimii samalla versiolla kuin ennenkin. Jos haluat vaihtaa uudempaan versioon, voit tehdä sen itse hallintapaneelista.
Pitääkö minun päivittää WordPress tai lisäosat tämän vuoksi?
Ei tämän haavoittuvuuden vuoksi, koska vika oli PHP:ssä eikä WordPressissä. WordPress, lisäosat ja teemat kannattaa silti pitää ajan tasalla, koska niiden päivitykset korjaavat niiden omia tietoturva-aukkoja. WP.one-palvelussa WordPressin päivitykset hoituvat automaattisesti.
Mitä teen, jos huomaan sivustollani jotain outoa?
Ota yhteyttä Zonerin asiakaspalveluun. Jos sivustolle on ilmestynyt tuntemattomia käyttäjiä, tiedostoja tai uudelleenohjauksia, autamme parhaamme mukaan. Suosittelemme myös vaihtamaan sivuston ylläpitäjien salasanat.
Artikkeli lyhyesti
- PHP:stä löytyi kaksi kriittistä tietoturva-aukkoa, jotka korjattiin 21.10.2026 julkaistuissa versioissa.
- Zoner on päivittänyt PHP:n kaikilla webhotelli- ja WP.one-alustoilla, myös vanhemmat versiot.
- Webhotelli- ja WP.one-asiakkaiden ei tarvitse tehdä mitään.
- Jos ylläpidät omaa virtuaalipalvelinta, päivitä PHP heti.
Haluamme, että voit luottaa sivustosi, sähköpostisi ja tietojesi olevan Zonerilla hyvissä käsissä, jotta voit keskittyä omaan yritykseesi. Siksi pidämme palvelimemme ajan tasalla ja toimimme heti, kun tarve tulee. Kiitos luottamuksesta ja kärsivällisyydestä!
Päivitämme tilannetta tarvittaessa PHP-päivityksen tilannetiedotteeseen tukisivuillamme.
'/%3E%3C/svg%3E){kind=small}
