🚨 Dvi kritinės PHP saugumo spragos: rizika interneto svetainėms ir verslo sistemoms

Europos Sąjungos kibernetinio saugumo agentūra ENISA kartu su Europos Komisija, CERT-EU ir Europolu paskelbė bendrą įspėjimą dėl dviejų kritinių PHP programavimo kalbos saugumo spragų.

PHP yra viena plačiai naudojamų technologijų interneto svetainėms, elektroninėms parduotuvėms ir įvairioms verslo sistemoms kurti.

🔍 Kas nustatyta?

2026 m. spalio 21 d. paskelbtame įspėjime nurodomi du kritiniai pažeidžiamumai:

• CVE-2026-109618
• CVE-2026-109619

Šie pažeidžiamumai, dar vadinami „PHP2Shell“, gali leisti užpuolikams nuotoliniu būdu vykdyti kenkėjišką kodą pažeidžiamuose serveriuose net neturint prisijungimo duomenų.

Tai reiškia, kad tam tikromis sąlygomis užpuolikas gali perimti pažeidžiamos sistemos kontrolę, pasiekti joje saugomus duomenis arba sutrikdyti paslaugų veikimą.

Svarbu pabrėžti, kad pažeidžiamumo egzistavimas savaime nereiškia, jog konkreti svetainė jau buvo atakuota.

🛡️ Ką rekomenduojama atlikti organizacijoms?

✅ Patikrinti, kokios PHP versijos naudojamos interneto svetainėse ir serveriuose.

✅ Įdiegti saugumo pataisas. Pažeidžiamumai ištaisyti PHP 8.2.35, 8.3.36, 8.4.27 ir 8.5.12 versijose.

✅ Atkreipti dėmesį, kad PHP 8.1 ir senesnėms versijoms šios pataisos neišleistos. Tokias sistemas būtina perkelti į palaikomas versijas.

✅ Pirmiausia atnaujinti sistemas, kurios tiesiogiai pasiekiamos internetu.

✅ Pasitikrinti su svetainių prieglobos ir IT paslaugų tiekėjais, ar naudojama infrastruktūra nėra pažeidžiama.

✅ Jei atnaujinti iš karto neįmanoma, apsvarstyti galimybę laikinai apriboti pažeidžiamų sistemų pasiekiamumą iš interneto.

💡 Kodėl tai aktualu Lietuvos verslui?

Daugelis organizacijų naudoja PHP pagrindu veikiančias svetaines, elektroninės prekybos platformas ir vidines sistemas.

Be to, PHP gali būti naudojama ir trečiųjų šalių programinėje įrangoje, todėl organizacijos ne visada žino, kad jų infrastruktūroje yra pažeidžiama technologija.

Šis atvejis primena svarbų IT saugumo principą: neužtenka pasirūpinti vien pagrindinės sistemos atnaujinimais – būtina žinoti ir kokie programinės įrangos komponentai naudojami jos veikimui.

Reguliarus atnaujinimas, infrastruktūros inventorizacija ir pažeidžiamumų stebėsena padeda sumažinti kibernetinių incidentų tikimybę.

🔐 Kibernetinis saugumas prasideda nuo laiku atliekamų veiksmų.

📌 Šaltiniai:

ENISA oficialus pranešimas (2026-10-21):
https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities

„Google Cloud“ saugumo biuletenis:
https://docs.cloud.google.com/support/bulletins

#ITPasaulis #KibernetinisSaugumas #PHP #CyberSecurity #ITInfrastruktūra #DuomenųApsauga #VersloSaugumas