PHP haavatavused CVE-2026-109618 ja CVE-2026-109619
Kriitiline Töös-
TöösVahepeal oleme kaardistanud kõik tänased tegevused ja teinud põhjaliku kontrolli kõigis meie serverites, neid servereid jälgisime terve päeva ka pidevalt.
Me ei leidnud mingeid jälgi katsetest neid haavatavusi ära kasutada.
Otsus kõik serverid maha võtta tehti puhtalt ettevaatusest, et saaksime koheselt kõrvaldada kõik võimalused kuritarvitamiseks, aga ka selleks, et tegutseda struktureeritult hetkel, mil (kell 16:00) haavatavuste üksikasjad avalikustati.
See oli raske valik, mida pole varem kunagi tulnud teha, kuid kui võimalikud tagajärjed on nii laastavad nagu antud juhul, siis on mõneks tunniks pakkumise peatamine põhjendatud ja riski võtmine mitte.
Pärast haavatavuste üksikasjade avalikustamist sai kinnitust, et tegime õige valiku: teadaolevad leevendusmeetmed ja täiendavad WAF-reeglid ei pakkunud tagantjärele piisavat kaitset. Serverid, mis olid võrgus, olid nende meetmete kiuste haavatavad. Ainsad täiesti turvalised serverid olid need, mis olid kättesaamatud või millele oli juba patch paigaldatud.
Vaatamata mõjule, mida see meie klientidele avaldas, oleme selle otsuse osas saanud palju toetust ja mõistmist, mille eest oleme loomulikult tänulikud.
Kahjuks võtavad CloudLinuxi uuendused kauem aega kui lootsime, nende hinnangul avaldatakse viimased uuendused umbes kell 00:30. Hoolitseme selle eest, et need paigaldatakse kohe, kui võimalik, ning seejärel viime iga konto PHP versiooni tagasi versioonile, mis sellel varem oli.
Kõige tähtsam: sinu veebileht ja meie serverid on turvalised. -
TöösDirectAdminis on võimalik valida teine php versioon, kuid me ei soovita seda teha. Hetkel on turvaline ainult natiivne versioon, teiste versioonide osas ootame veel CloudLinuxi uuendust. Anname teada, kui teisi PHP versioone saab taas kasutada.
-
TöösKõik kontod töötavad nüüd turvalise PHP 8.3 versiooniga.
Kui su veebileht ei tööta, siis on põhjuseks see, et su veebileht ei toeta kaasaegset PHP versiooni. Soovitame sul veebilehe peagi ajakohastada, et see toetaks kaasaegset PHP versiooni. Kui see ei õnnestu, võta meiega julgesti ühendust.
Niipea kui CloudLinuxi uuendused on avaldatud, võtame need kasutusele ja viime kõigi kontode PHP versioonid tagasi endistele seadistustele.
Jätkame veel natuke. -
TöösAjutise meetmena lülitame kõigi klientide kontod ajutiselt natiivsele PHP versioonile 8.3, see versioon on turvaline ja töötab.
Rakendame seda kõigis oma serverites. Kui sinu veebileht veel ei tööta, pole seda sinu serverisse veel paigaldatud. Sellega tegeleme parasjagu.
Pärast seda, kui CloudLinux avaldab paranduse kõigile PHP versioonidele, seadistame kõigi kontode PHP versioonid tagasi nendele versioonidele, mida nad varem kasutasid. -
TöösOleme võtmas kasutusele natiivset PHP versiooni väljaspool CloudLinuxi, kuna ootame nende paigalduse ilmumist.
Seda rakendame nüüd kõigis serverites. Saidid, mis kasutavad PHP versiooni 8.3, on peagi taas veebis. Ülejäänud versioonid järgnevad kohe, kui CloudLinux annab välja neile vastavad paigaldused. -
TöösÜks turbetarkvara teenustest, mis töötab kõigis meie serverites, on Imunify360.
Nad avaldasid just uue reeglistiku, mis on juba kõigis meie serverites aktiivne ja mis kuni paiga ilmumiseni eemaldab suure osa ärakasutamise riskist:
"The Imunify360 ModSecurity ruleset 8.83 is now in the Stable channel. It contains a blocking rule for the publicly circulating exploit shape for CVE-2026-109618 / CVE-2026-109619, which targets the PHP session upload progress handling of multipart requests, plus a telemetry rule to track related activity." -
TöösKui su veebileht või rakendus töötleb tundlikke andmeid ja soovid kindel olla, saad kuni paiga rakendamiseni omal otsusel muuta oma veebilehe või rakenduse ajutiselt kättesaamatuks.
Selleks mine DirectAdmini, ava failihaldur, liigu kausta /domains/sinudomeen.xx ja nimeta seal kaust public_html ümber, näiteks public_htmloud. Selles kaustas olev kood ei ole seejärel enam ligipääsetav. Pärast paiga rakendamist nimeta kaust tagasi public_html, et kõik taas kättesaadavaks muuta. -
TöösAvastati kaks uut kriitilist PHP turvaauku, mis mõjutavad eeldatavasti kõiki PHP versioone. Sellest artiklist leiad lisainfot (ingliskeelne):
https://tweakers.net/nieuws/253568/php-waarschuwt-voor-twee-ernstige-bugs-die-makkelijk-uit-te-buiten-lijken.html
Meie tiim jälgib olukorda pidevalt ning niipea kui leevendus või paik avaldatakse, levitame selle kõigisse meie serveritesse.
PHP ametlik paik eeldatavasti ei kehti versioonidele, mis on vanemad kui 8.2. Kas sinu veebileht töötab veel vanemal versioonil? Siis soovitame selle võimalikult kiiresti uuendada vähemalt versioonile 8.3.
Siit leiad juhised, kuidas seda teha: https://www.weboke.nl/knowledgebase/212/PHP-versie-wijzigen.html
Tähelepanu: kui mõni osa sinu veebilehest ei ole ajakohane, võib veebileht lakata töötamast. Tuvasta need osad ja lülita need välja või uuenda need võimalusel.
Meie serverid kasutavad CloudLinuxi, mis avaldab turvapaikade korral vanemate PHP versioonide jaoks backporte, tänu millele saab kaitsta ka vanemaid versioone. Eeldame, et need backportid avaldatakse mõningase viivitusega.
Kui peame seda vajalikuks, muudame kõik oma serverid ajutiselt kättesaamatuks, et tagada meie klientide veebilehtede turvalisus. Pärast turvapaiga paigaldamist on kõik taas kättesaadav.
Pärast paikade paigaldamist teostame kõikides oma serverites põhjalikud pahavaraskannid kontrolli eesmärgil.
Need turvaaugud mõjutavad kõiki hostimisteenuse pakkujaid ja suurt osa kõigist veebilehtedest kogu maailmas.
Viimane uuendus: 21 oktoober 2026, 22:46