Ahultasunak
PHPk premiazko adabakiak argitaratu ditu webguneei eta lineako dendei eragiten dieten bi akats kritikorentzat
PHPk, WordPressen eta web eta lineako denda askoren lengoaiak, urriaren 21ean adabakiak argitaratu zituen zerbitzariaren kontrola pasahitzik gabe hartzea ahalbidetu dezaketen bi akats kritikorentzat. Xehetasunak lehenago filtratu ziren, eta dagoeneko badira eraso-saiakeren berri. Weba baduzu, galdetu hornitzaileari.
PHP — Kaltetutako software-proiektua (web-programazioko lengoaia)
30 segundotan
- PHPk urriaren 21ean 8.5.12, 8.4.27, 8.3.36 eta 8.2.35 bertsioak argitaratu zituen. Bi akats kritiko zuzentzen dituzte (CVE-2026-109618 eta CVE-2026-109619, 10etik 9,2ko puntuazioa), zerbitzarian kodea kredentzialik gabe exekutatzea ahalbidetu dezaketenak.
- PHPren arabera, «web-eskaerak zerbitzatzen dituzten PHP instalazio guztiak» daude arriskuan, eta eguneratzea da konponbide oso bakarra.
- Xehetasunak urriaren 20an filtratu ziren, adabakia baino lehen. watchTowrek eta Cloudflarek eraso-saiakeren berri eman dute; urriaren 21ean ez zegoen intrusio berretsirik.
- PHP 8.1ek eta aurrekoek ez dute eguneratze ofizialik jasotzen: erabiltzen dituzten webguneek migratu egin behar dute.
Eragiten al dit?
Eragiten dizu zure enpresak PHPrekin dabilen web bat, lineako denda bat, intranet bat edo kudeaketa-programa bat badu, oso ohikoa baita: WordPressek, Drupalek, Joomlak edo Magentok erabiltzen dute. Eguneratzea zure hostingaren edo weba mantentzen duen agentziaren esku egon ohi da. Ez dizu eragiten zure webak PHP erabiltzen ez badu. Ez dago biktima espainiar berretsirik.
Zer gertatu da
2026ko urriaren 21ean, PHPren segurtasun-taldeak «Kodea urrunetik exekutatzeko ahultasun kritikoak, eguneratu orain» izeneko abisua argitaratu zuen. PHP da WordPress, Drupal, Joomla edo Magento dabiltzan lengoaia.
8.5.12, 8.4.27, 8.3.36 eta 8.2.35 bertsio berriek bi akats zuzentzen dituzte, CVE-2026-109618 eta CVE-2026-109619, «PHP2Shell» izenez ezagunak. PHPren arabera, biek «kodea urrunetik eta autentifikaziorik gabe exekutatzea ahalbidetu dezakete»: erasotzaile batek bere aginduak exekutatu ahal izango lituzke web-zerbitzarian, erabiltzailerik edo pasahitzik behar izan gabe. Proiektuak «PHPren erabiltzaile guztiei» «berehala» eguneratzeko eskatzen die.
Urriaren 20an, PHPk hurrengo egunerako iragarri zituen adabakiak. Huntressen eta The Hacker Newsen arabera, egun horretan bertan filtratu zen akatsei buruzko informazioa, zuzenketarik egon aurretik.
Zer dakigu
- Zer dagoen arriskuan (PHPren arabera): web-eskaerak zerbitzatzen dituzten PHP instalazio guztiak, zerbitzari eta hostingetako konfigurazio ohikoenak barne (PHP-FPM, Apache mod_php-rekin, php-cgi, FrankenPHP eta LiteSpeed). PHPren ustez, arriskua handiagoa da mod_php-rekin.
- Larritasuna: PHPk 10etik 9,2 puntu ematen dizkie bi akatsei (CVSS v4.0) eta kritikotzat jotzen ditu.
- Bertsio zuzenduak: 8.5.12, 8.4.27, 8.3.36 eta 8.2.35. Linux banaketek aldez aurretik jaso zituzten adabakiak; beraz, hornitzaileek pakete eguneratuak izan ditzakete dagoeneko.
- Bertsio zaharrak: PHP 8.1ek eta aurrekoek ez dute proiektuaren eguneratzerik jasotzen. PHP 8.2k 2026ko abenduaren 31n galduko du euskarria.
- Behin-behineko neurriak: PHPk esposizioa murrizten duten konfigurazio-doikuntzak argitaratzen ditu, baina ohartarazten du «ez dutela instalazio bat seguru bihurtzen»: «eguneratzea da aukera seguru bakarra».
Zer ez dakigu oraindik
- Ea dagoeneko badagoen web arriskuan jarririk. The Hacker Newsen arabera, watchTowr enpresak urriaren 21ean bi akatsen «ustiapen-saiakera aktiboen» berri eman zuen, eta Cloudflarek «hasierako erasoen» berri. Huntressek, aldiz, ez zuen ustiapenik ikusi zaintzen dituen sistemetan egun horretako 16:30ean (AEBetako ekialdeko ordua). Iturri batek ere ez du berretsi intrusio arrakastatsurik, eta akatsak oraindik ez zeuden CISAren ustiatutako ahultasunen katalogoan.
- Ea Espainian biktimarik dagoen. Ez dago bat ere berretsirik.
Zergatik da garrantzitsua
Akatsa ez dago plugin batean edo web jakin batean, PHPn bertan baizik. Horrek esan nahi du ondo egindako web bat, plugin guztiak eguneratuta dituena, arriskuan egon daitekeela zerbitzariko PHP eguneratu ez bada.
Gainera, filtrazioak murriztu egin du adabakiaren eta lehen erasoen arteko ohiko tartea. Xehetasunak zuzenketa baino lehen zabaltzen direnean, erreakzio-denbora egunetan neurtzen da.
Zer esan nahi du ETE batentzat
Enpresa txiki batean, weba ia inoiz ez du barruko norbaitek kudeatzen: hosting partekatu batean egon ohi da, edo agentzia batek duela urte batzuk muntatutako zerbitzari batean. Ohikoa da enpresako inork ez jakitea zein PHP bertsio duen.
Arriskuan jarritako web bat ez da irudi-arazo bat bakarrik: dendako bezeroen datuak, harremanetarako inprimakiak edo intranet baterako sarbidea izan ditzake. Eta datu pertsonalak kaltetuta badaude, AEPDri jakinarazteko betebeharra egon daiteke.
Zer egin beharko luke zure enpresak aste honetan
- Egin inbentarioa: web korporatiboa, lineako denda, intraneta, bezeroen eremua, web bidezko sarbidea duten kudeaketa-programak. Idatzi nork mantentzen duen bakoitza.
- Galdetu zure hostingari edo agentziari PHP erabiltzen duten eta dagoeneko 8.5.12, 8.4.27, 8.3.36 edo 8.2.35 bertsioan dagoen (edo beren Linux hornitzailearen adabakia duen bertsio batean). Eskatu erantzuna idatziz.
- PHP 8.1 edo aurrekoa erabiltzen baduzue, ez dago bertsio zuzendu ofizialik: eskatu migrazio-plan bat datarekin. Bitartean, aplika ditzatela PHPk argitaratzen dituen behin-behineko neurriak.
- Eskatu intrusio-zantzuak berrikusteko urriaren 20tik aurrera, batez ere eguneratzea atzeratzen bada.
- Egiaztatu webaren segurtasun-kopia berri bat dagoela eta leheneratu daitekeela.
Ez badaukazu argi zure enpresako zein zerbitzu dauden internetera irekita eta nork eguneratzen dituen, horixe bera berrikusten du zibersegurtasun-auditoria batek.
Iturriak
- PHP — «Security advisory: Critical remote code execution vulnerabilities, update now» (2026ko urriaren 21a)Lehen mailako iturria
- PHP GitHuben — GHSA-w8hw-w9fx-j79w abisua, «RCE via OOM corruption» (CVE-2026-109618, 2026ko urriaren 21a)Lehen mailako iturria
- PHP GitHuben — GHSA-6wmf-4rv5-p3rp abisua, «RCE via stale global state» (CVE-2026-109619, 2026ko urriaren 21a)Lehen mailako iturria
- Huntress — «Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)» (2026ko urriaren 20a, 21ean eguneratua)
- The Hacker News — «PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge» (2026ko urriaren 21a)
Defentriaren erredakzioa. Defentriaren taldeak lehen mailako iturrietatik (CERTak, erakunde ofizialak eta fabrikatzaileak) aukeratzen ditu zibersegurtasun albisteak, eta Espainiako ETE batentzat zer esan nahi duten eta horren aurrean zer egin azaltzen du.
