PHP saugumo pažeidimai

2026-10-22 13:38:08

/

Programavimas

PHP saugumo pažeidimai

2026 m. spalio 21 d. paskelbta apie dvi kritines PHP saugumo spragas, vadinamas „PHP2Shell“. Tai itin pavojingi pažeidžiamumai, kurie tam tikromis sąlygomis leidžia užpuolikams nuotoliniu būdu vykdyti kenkėjišką kodą serveryje net neturint prisijungimo duomenų.

Oficialius įspėjimus paskelbė PHP kūrėjai, Europos Sąjungos kibernetinio saugumo agentūra ENISA ir Nacionalinis kibernetinio saugumo centras (NKSC).

Kokios saugumo spragos nustatytos?

Pažeidžiamumas	Aprašymas
CVE-2026-109618	Klaida apdorojant atminties trūkumą (Out of Memory). Tam tikromis sąlygomis gali būti sugadintos vidinės PHP atminties struktūros ir įvykdytas kenkėjiškas kodas.
CVE-2026-109619	Klaida tvarkant vidinę PHP būseną po kritinės klaidos. Gali būti pakartotinai panaudota jau atlaisvinta atmintis (Use After Free), sudarant sąlygas vykdyti kenkėjišką kodą.

Abiejų pažeidžiamumų pavojingumas įvertintas 9,2 balo pagal CVSS 4.0 skalę.

2026 m. spalio 21 d. išleistos šios pataisytos PHP versijos:

PHP versija	Pataisyta versija
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35
PHP 8.1 ir senesnės	Oficialiai nebepalaikomos, todėl naujai nustatytiems pažeidžiamumams oficialūs šios versijos pataisymai neišleidžiami.

Kokios rizikos kyla toliau naudojant nenaujinamas PHP versijas

Įsilaužimas į svetainę. Užpuolikai gali išnaudoti PHP saugumo spragas ir vykdyti kenkėjišką kodą.
Duomenų nutekėjimas. Gali būti pasisavinti naudotojų duomenys, užšifruotos slaptažodžių reikšmės ir kita konfidenciali informacija.
Svetainės užkrėtimas. Gali būti įdiegtos kenkėjiškos programos, paslėpti failai arba lankytojų nukreipimai į kitas svetaines.
Serverio kompromitavimas. Įsilaužėliai gali perimti serverio išteklių kontrolę ir mėginti pasiekti kitas tame pačiame serveryje veikiančias sistemas.
Paslaugų sutrikimas. Svetainė gali nustoti veikti arba būti panaudota kibernetinėms atakoms bei nepageidaujamiems laiškams siųsti.

Svarbu: Senų PHP naudojimas savaime nereiškia, kad svetainė jau pažeista, tačiau ši versija nebepalaikoma ir turi neištaisytų kritinių saugumo spragų.

Nepalaikomos PHP versijos bus išjungtos!

Mūsų rekomendacijos

Rekomenduojame kuo skubiau atnaujinti interneto svetainę, kad ji galėtų veikti su šiuolaikine, saugumo atnaujinimus gaunančia PHP versija.
Jeigu esamos svetainės technologiniai sprendimai neleidžia atnaujinti PHP versijos, rekomenduojame įvertinti svetainės perkūrimo galimybę.
Kol svetainė nebus atnaujinta, rekomenduojame apriboti jos pasiekiamumą iš interneto arba, jei tai neįmanoma, taikyti papildomas laikinas saugumo priemones: WAF, prieigos ribojimus, atsarginių kopijų kūrimą ir nuolatinę saugumo stebėseną.

Atkreipiame dėmesį, kad papildomos saugumo priemonės tik sumažina riziką, tačiau nepašalina pačių PHP pažeidžiamumų.

Nacionalinis kibernetinio saugumo centras taip pat rekomenduoja nebepalaikomas PHP versijas, kurioms nėra saugumo atnaujinimų, izoliuoti nuo interneto ir įvertinti perėjimo prie palaikomų versijų galimybes.

Oficialūs pranešimai

PHP Foundation – techninis pažeidžiamumų paaiškinimas

https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/

ENISA – bendras Europos Sąjungos institucijų perspėjimas apie kritines PHP spragas

https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities

Nacionalinis kibernetinio saugumo centras – oficialus perspėjimas ir rekomendacijos

https://www.nksc.lt/naujienos/svarbi_informacija_apie_2026_m_spalio_21__0207d681.html

PHP – oficiali svetainė ir saugumo atnaujinimai

https://www.php.net/