Tekoäly löysi PHP:n kriittiset haavoittuvuudet ja korjaukset on julkaistu

Kirjoittaja: AI Uutiset Toimitus · Tarkastanut: Pasi Kalevi, päätoimittaja · 23.10.2026

PHP-ohjelmointikielestä löytyi kaksi erittäin vakavaa haavoittuvuutta, jotka PHP-projekti korjasi kiireellisesti 21. lokakuuta. Toisen virheen löysi OpenAI:n tekoälymalli, ja tietoturvayhtiö Wiz löysi molemmat itsenäisesti. Koska PHP pyörittää suurta osaa maailman verkkosivuista, korjaus koskee hyvin laajaa joukkoa palvelimia — myös Suomessa.

Mitä PHP:ssä oli vialla

Haavoittuvuudet tunnetaan nimillä CVE-2026-109618 ja CVE-2026-109619. Molemmat on arvioitu vakavuusasteikolla 9,2 kymmenestä. Ne ovat niin sanottuja use-after-free-virheitä: ohjelma vapauttaa muistin, mutta käyttää sitä myöhemmin uudelleen ikään kuin se olisi vielä voimassa.

Käytännössä hyökkääjä voi saada palvelimella koodin suoritettavaksi ilman kirjautumista. Toinen virheistä vuotaa lisäksi palvelimen muistia takaisin käyttäjälle. Vuotanut muisti voi sisältää muun muassa salasanoja, istuntotunnuksia, rajapinta-avaimia ja TLS-yhteyksien yksityisavaimia.

Virheet ovat PHP:n ytimessä, eivät yksittäisessä sovelluksessa. Ne ovat olleet mukana PHP:n versiosta 5.4.0 lähtien eli vuodesta 2012. Koska virhe laukeaa ennen sovelluksen omaa koodia, sovelluksen huolellinenkaan toteutus ei suojaa siltä.

Miten tekoäly löysi virheet

Toisen haavoittuvuuden löysi Calif-nimisen tietoturvayhtiön tutkija Ryan Austin OpenAI:n GPT-5.6 Sol -mallilla osana OpenAI:n Patch the Planet -hanketta. Wiz Research löysi ja raportoi molemmat virheet itsenäisesti. PHP:n ylläpitäjät johtivat korjausten kehittämistä ja julkaisua.

Wizin tutkijoiden mukaan virheet olivat piilossa vuosikymmeniä, ja niiden hyödyntämisen osoittaminen vaati poikkeuksellisen monimutkaisen ketjun — käytännössä ihmistutkijoiden kykyjen rajoilla. Uusimmat tekoälymallit madalsivat tätä kynnystä merkittävästi.

Aikajana on tarkennettavissa: Calif löysi virheet elokuun alussa ja raportoi ensimmäisestä PHP:lle 11. elokuuta. Wiz raportoi omat havaintonsa 24. elokuuta. Korjaukset julkaistiin 21. lokakuuta kello 14 UTC.

Kuka on vaarassa ja mitä pitää tehdä

Haavoittuvuus koskee käytännössä jokaista PHP-asennusta, joka palvelee verkkopyyntöjä: PHP-FPM:ää, Apachea mod_php-laajennuksella, php-cgi:tä, FrankenPHP:tä ja LiteSpeediä. Vaarassa ovat suurimmat, jos palvelin käyttää Apachea mod_php:n kanssa.

Korjatut versiot ovat PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP-projekti ei enää tue versiota 8.1 tai sitä vanhempia, mutta se julkaisi lähdekoodikorjaukset myös versioille 7.4, 8.0 ja 8.1. Useat jakelut ja hosting-palvelut ovat toimittaneet korjaukset omiin paketteihinsa.

Koska kyse on avoin lähdekoodi -kielestä, korjaus ei tule automaattisesti. Jos sivusto pyörii omalla palvelimella, PHP on päivitettävä itse. Jos palvelin on hosting-yhtiön hallinnassa, yhtiöltä pitää varmistaa, että päivitys on tehty. Myös WordPress, WooCommerce ja Magento ovat alttiita, vaikka niiden oma koodi olisi kunnossa.

Cloudflare otti käyttöön väliaikaiset suojaussäännöt kaikille asiakkailleen jo ennen korjausten julkaisua. Ison-Britannian kyberturvallisuuskeskus NCSC on suositellut, että korjaamattomia järjestelmiä harkitaan otettavaksi pois verkosta. Palo Alto Networks on vahvistanut, että kaikki PAN-OS- ja Panorama-versiot ovat alttiita eikä korjattua versiota ollut 22. lokakuuta mennessä julkaistu.

Joukkohyökkäys ei toistaiseksi toteutunut

Korjauksen julkaisupäivänä pelättiin laajaa automaattista hyökkäysaaltoa. Cloudflare raportoi ensimmäisistä hyökkäysyrityksistä jo 21. lokakuuta kello 7.43 UTC, ennen korjausten julkaisua. Amazonin uhkatietoyksikkö puolestaan kertoi, että sen hunajapurkkiin oli yritetty hyökätä jo 17. lokakuuta, neljä päivää ennen tietojen julkistamista.

Tietoturvayhtiö Sansec arvioi 22. lokakuuta, että joukkohyökkäys on kuitenkin epätodennäköisempi kuin pelättiin. Hyökkäys vaatii tietoja kohdepalvelimesta ja tiettyjä olosuhteita, eivätkä julkiset hyökkäystyökalut toimi oletusasennuksella. Alankomaissa muun muassa Tweakers, edustajainhuone ja kansallinen kyberturvallisuuskeskus sulkivat sivustojaan varotoimena.

Sansecin mukaan tilanne muistuttaa silti pitkää häntää: osa sulautetuista asennuksista jää päivittämättä, koska niitä ei enää ylläpidetä.

OpenAI lupaa miljardi dollaria puolustajille

OpenAI kertoi samana päivänä, että se varaa miljardi dollaria tuettua pääsyä Daybreak-työkaluunsa järjestöille, joilla on rajalliset tietoturvaresurssit ja jotka suojaavat yhteiskunnan kannalta keskeisiä palveluita. Yhtiö julkaisi myös Patch the Planet -sivuston, jolle kootaan julkisia tietoja haavoittuvuuksista ja korjauksista, sekä työkalun, jolla voi tarkistaa, onko oma PHP-versio altis.

Yhtiö korostaa, että sama tekoälykyvykkyys auttaa myös hyökkääjiä kehittämään hyökkäyksiä nopeammin. Siksi se ehdottaa viisivaiheista mallia haavoittuvuuksien koordinoidulle paljastamiselle: korjauksen vahvistaminen, kärsiville organisaatioille annettava aika, viranomaisyhteistyö, päivitysten valmistelu ja ohjeistus käyttöönotosta.

Kyse ei ole pelkästään PHP:stä. OpenAI kertoo löytäneensä useita muitakin merkittäviä haavoittuvuuksia ja odottaa vastaavien löytöjen lisääntyvän jyrkästi lähikuukausina.

Lähteet

• OpenAI: Patch the Planet: global response coordination as agents uncover critical vulnerabilities, 22.10.2026.
• PHP-projekti: CVE-2026-109618 ja CVE-2026-109619, 21.10.2026.
• Wiz: PHP2Shell: PHP RCE, 21.10.2026.
• Sansec: PHP2Shell: PHP RCE (CVE-2026-109618, CVE-2026-109619), päivitetty 22.10.2026.
• Help Net Security: PHP2Shell: Critical PHP vulnerabilities patched, update now!, päivitetty 22.10.2026.
• watchTowr: PHP2Shell FAQ: CVE-2026-109618 & CVE-2026-109619 Fixes, 22.10.2026.
• Gizmodo: OpenAI Wants to ’Patch the Planet’ (With Its Own AI), 22.10.2026.
• NCSC (UK): Critical security issue affecting PHP, 21.10.2026.

Vastuuvapauslauseke: Tämä artikkeli on tarkoitettu vain tiedotustarkoituksiin. Sitä ei tarjota tai ole tarkoitettu käytettäväksi oikeudellisena, verotuksellisena, sijoitus-, rahoitus- tai muuna neuvona.

Mainos: alla on kumppanimainoksia ja mainoslinkkejä.