Mitä tapahtui
PHP-projekti julkaisi 21.10.2026 korjausversiot kaikkiin tuettuihin PHP-versioihin. Ne paikkaavat kaksi kriittistä aukkoa (CVE-2026-109618 ja CVE-2026-109619, vakavuus 9,2/10), joiden kautta hyökkääjä voi pahimmillaan ajaa omaa koodiaan palvelimella ilman kirjautumista. PHP-projektin mukaan päivittäminen on ainoa varma korjaus.
| PHP | Korjattu versio | Mitä tehdä |
|---|---|---|
| 8.5 | 8.5.12 | Päivitä korjausversioon |
| 8.4 | 8.4.27 | Päivitä korjausversioon |
| 8.3 | 8.3.36 | Päivitä korjausversioon |
| 8.2 | 8.2.35 | Päivitä korjausversioon. Tietoturvatuki päättyy 31.12.2026. |
| 8.1 ja vanhemmat | Ei virallista korjausversiota | Siirry tuettuun versioon |
Keitä tämä koskee
- PHP 8.2–8.5. Kyse on palveluntarjoajan päivityksestä. Kysykää heiltä, onko korjausversio asennettu.
- PHP 8.1 tai vanhempi. PHP-projekti ei enää julkaise näihin versioihin virallisia päivityksiä. Vakavuuden vuoksi PHP:n tietoturvatiimi jakoi tällä kertaa versioille 7.4, 8.0 ja 8.1 lähdekoodikorjaukset, mutta palveluntarjoajan on asennettava ne itse, joten kysykää heiltä, onko korjaus asennettu. Pysyvä ratkaisu on siirtyä tuettuun PHP-versioon, ja vaihto kannattaa testata ensin, koska vanhat lisäosat eivät aina toimi uudella versiolla.
- Aimovahdin ylläpitoasiakkaat. Tarkistamme sivustonne ja kerromme, jos jokin vaatii toimia.
Näin näette sivustonne PHP-version
WordPressin hallinnassa: Työkalut → Sivuston terveys → Tiedot → Palvelin. Kohdassa PHP-versio näkyy esimerkiksi 8.3.36.
Mitä kannattaa tehdä
- Jos versio on 8.2–8.5 mutta pienempi kuin taulukon korjattu versio, pyytäkää palveluntarjoajaa päivittämään.
- Jos versio on 8.1 tai vanhempi, suunnitelkaa siirto tuettuun versioon. Siihen sopii PHP-päivitys turvallisesti.
- Jos ette ole varmoja, maksuton kuntotarkastus kertoo tilanteen.
Päivitys 23.10.2026
PHP-projekti suosittelee lisäksi asetusta session.upload_progress.enabled=0 seuraavaan korjausversioon asti. Se koskee vain harvinaista kokoonpanoa, jossa sovellus vaihtaa istuntojen tallennusmuotoa kesken ajon. WordPress itse ei käytä PHP:n istuntoja.
Lähteet: PHP-projektin tietoturvatiedote 21.10.2026 ja lisäohje 23.10.2026, php.net.