Tehisaru leidis PHP-st kaks kümme aastat varjus olnud auku. RIA hinnangul võib ohus olla kümneid tuhandeid Eesti servereid.

PHP projekt avaldas kolmapäeval versioonid 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Need parandavad kaks kriitilist turvaauku, CVE-2026-109618 ja CVE-2026-109619, mille kaudu saab ründaja ühe päringuga serveris koodi käivitada, ilma et peaks end tuvastama. PHP turvameeskonna sõnul on ohus kõik PHP paigaldused, mis veebipäringuid teenindavad, ning kõik kasutajad peaksid kohe uuendama.

PHP peal töötavad WordPress, Drupal, Joomla, Magento ja suur osa Eesti ettevõtete kodulehtedest, siseveebidest ja e-poodidest. RIA ütles ERR-ile, et Eestis võib haavatavaid servereid olla kümneid tuhandeid.

Miks see on tehisaru lugu

Vead leidis küberturbefirma Wiz. Ettevõtte kirjelduse järgi kasutasid tema uurijad oma tööriista Wiz Atlas koos Google'i mudeliga Gemini 4 Argon ja OpenAI mudeliga GPT-5.6 Sol. Esimene viga tuli välja 19. augustil, 21. augustiks oli Wizil olemas töötav rünnak WordPressi ja Drupali vastu ning 24. augustil teatas ta vigadest PHP meeskonnale. Vigane kood oli PHP-s olnud üle kümne aasta.

Wiz kirjeldab muutust otse: üks uurija tegi nädalaga ära selle, milleks varem kulus tippmeeskonnal kuid. Rünnaku kohandamine eri rakendustele võttis mudelitega tunde. Wiz näitas koodi käivitamist WordPressi, Drupali ja Joomla värskeimate versioonide vastu ning lisaks viga, mille kaudu lekib serveri mälu. Sealt võivad välja tulla paroolid, tokenid ja API-võtmed.

Samad tööriistad on kättesaadavad ka ründajatele. Enam ei saa eeldada, et vana ja laialt kasutatud tarkvara on juba põhjalikult läbi kammitud või et parandusest relvastatud rünnakuni jääb nädalaid aega.

Kuidas Euroopa reageeris

Euroopa Komisjon, ENISA, CERT-EU, Europoli küberkuritegevuse keskus ja riiklike CSIRT-ide võrgustik andsid samal päeval välja ühisavalduse, mis kutsub organisatsioone kohe tegutsema. ERR-i andmetel sulges Soome riigi IT-keskus Valtori ettevaatusest avalikud riigi veebiteenused, Läti pani kinni riigi veebilehed ja Hollandi küberturvalisuse asutus võttis maha oma lehe.

RIA valis teise tee. Amet ütles ERR-ile, et riiklikku kriisi ei ole, olulised riigi ja avaliku sektori lehed said kaitse enne paranduste avalikustamist ning Eestis pole rünnakutest seni teada. Teated rünnakute kohta mujal maailmas lähevad lahku, seega tasub seda võtta päris ohuna, mitte tavalise uuenduspäevana.

Mida teha esmaspäeval, veel parem täna

• Pange kirja kõik oma kodulehed, e-poed, siseveebid ja kliendiportaalid, ka need, mille mõni agentuur aastaid tagasi valmis tegi. Märkige iga juurde, kes PHP-d uuendab: teie ise, majutaja või agentuur
• Küsige majutajalt kirjalikult, milline PHP versioon igal lehel töötab ja millal see viiakse versioonile 8.2.35, 8.3.36, 8.4.27 või 8.5.12. Wordfence hoiatas, et automaatuuendused seda parandust ei paigalda, sest viga on PHP-s endas
• PHP 8.1 ja vanemad versioonid on omaette mure. PHP projekt neile enam uuendusi ei tee, nii et vaja on kas tarnijat, kes parandused tagasi porditud kujul pakub, või versiooni uuendamist
• Kui avalikku lehte ei õnnestu sel nädalal parandada, järgige ELi soovitust: pange see veebirakenduse tulemüüri taha koos tarnija uute reeglitega või võtke leht maha, kuni see on parandatud
• Kui leht töötas parandamata kujul ja selle seadistuses on andmebaasi paroolid või API-võtmed, vahetage need pärast uuendamist välja. Wiz näitas, et üks vigadest võib serveri mälu lekitada
• Kontrollige ka ostetud tarkvara. ELi avaldus juhib tähelepanu, et paljud tooted kasutavad PHP-d taustal, nii et küsige tarnijatelt, kas see neid puudutab

Pikem õppetund on olulisem kui see üks parandus. Tehisaru on teinud vanast koodist tõsiste vigade leidmise kõigi jaoks odavamaks ja kiiremaks ning see kordub. Ettevõte, kes teab, mida ta käitab ja kes seda uuendab, saab järgmisega hakkama päevaga. See, kes peab alustuseks agentuurilt küsima, mis serveris koduleht üldse asub, kaotab nädala.