Kriitiline PHP turvaauk: mida see WordPressi ja WooCommerce'i lehe omanikule tähendab

Lühidalt: 21. oktoobril 2026 avaldas PHP meeskond turvauuendused kahele kriitilisele veale (CVE-2026-109618 ja CVE-2026-109619). Need võivad lubada ründajal sinu veebiserveris koodi käivitada ilma ühegi paroolita. Kui sinu koduleht või e-pood töötab WordPressil, WooCommerce'il või muul PHP-põhisel platvormil, kontrolli PHP versioon täna üle.

Mis juhtus?

PHP on programmeerimiskeel, millel jookseb suurem osa maailma kodulehti, sealhulgas iga WordPressi leht ja WooCommerce'i e-pood. 21.10.2026 andis PHP arendusmeeskond välja versioonid 8.5.12, 8.4.27, 8.3.36 ja 8.2.35, mis parandavad kaks kriitilist turvaviga.

Mõlemad vead said CVSS 4.0 skaalal hindeks 9.2 punkti 10-st. Lihtsas keeles tähendab see järgmist:

• Sisselogimist pole vaja. Rünnak käib tavalise veebipäringuga.
• Tagajärg on koodi käivitamine serveris (remote code execution). Ründaja saab teha seda, mida saab veebiserver: lugeda andmebaasi, muuta faile, lisada pahavara või suunata külastajad mujale.
• Rünnak on juba demonstreeritud. PHP turvameeskonna teatel on vähemalt ühes levinud serveriseadistuses (Apache + mod_php) näidatud töötavat rünnet, mis toimub enne, kui lehe enda kood üldse käivitub. Tehnilised detailid on avalikud.

PHP enda soovitus on üheselt selge: uuendage kohe. Seadistusega saab riski vähendada, aga ainult uuendus parandab vea täielikult.

Keda see puudutab?

Ohus on iga koduleht, mis kasutab PHP-d ja mille PHP versioon on vanem kui ülal toodud parandatud versioonid. Praktikas tähendab see:

• WordPressi kodulehti ja blogisid
• WooCommerce'i e-poode (siin on ohus ka kliendiandmed ja tellimused)
• Joomla, Magento, PrestaShopi ja teisi PHP-põhiseid lehti
• tellimuslahendusi, mis on kirjutatud PHP-s

Eriti tähelepanelik tasub olla siis, kui lehel töötab PHP 8.1 või vanem. PHP projekt neid versioone enam ametlikult ei uuenda. Turvameeskond tegi seekord erandina minimaalsed lähtekoodi paigad versioonidele 7.4, 8.0 ja 8.1, aga need on mõeldud serveriadministraatoritele, kes PHP-d ise kompileerivad. Tavalise kodulehe jaoks on õige lahendus minna toetatud versioonile (8.2 või uuem, eelistatult 8.3 või 8.4).

Arvestada tasub ka sellega, et PHP 8.2 tugi lõpeb 31.12.2026. Kui uuendad praegu, on mõistlik minna kohe uuemale versioonile.

Me kontrollisime 22. oktoobril üle enda hallatavate ja seotud klientide lehed. Enamikul neist töötas veel paikamata PHP versioon. See ei ole kellegi hooletus: parandused tulid välja alles eile ja paljud majutajad alles paigaldavad neid. Küll aga näitab see, et "küll majutaja hoolitseb" ei ole turvaplaan.

Kuidas oma PHP versiooni kontrollida?

Selleks ei pea olema arendaja. Vali üks viis:

1. WordPressi halduspaneel: Tööriistad → Saidi tervis → Info → Server. Real "PHP versioon" on täpne number, näiteks 8.3.36.
2. Majutaja kliendipaneel: enamikul Eesti majutajatel on PHP versioon kirjas veebimajutuse seadetes. Seal saab tavaliselt ka versiooni vahetada.
3. Küsi majutajalt: kirjuta klienditoele "Kas minu serveris on PHP juba uuendatud versioonile 8.3.36 / 8.4.27 / 8.5.12 / 8.2.35?"

Kuidas tulemust lugeda:

Kui oled jagatud majutuses, paigaldab PHP paranduse tavaliselt majutaja. Sinu roll on kontrollida, et see on tehtud, ja vajadusel valida paneelis uuem PHP haru.

Mida kohe teha: 5 sammu

1. Tee kõigepealt täisvarukoopia. Failid ja andmebaas, mitte ainult üks neist. Hoia koopiat väljaspool serverit.
2. Uuenda PHP parandatud versioonile. Kui oled vanemal harul, vaheta toetatud versiooni vastu (soovitame 8.3 või 8.4).
3. Uuenda WordPressi tuum, teema ja pluginad. Vana plugin võib uuemal PHP-l katki minna, nii et uuenda need enne PHP vahetust või samal ajal. Pikemalt kirjutasime sellest juhendis WordPress uuendused: kuidas neid teha ilma lehte rikkumata.
4. Testi leht üle. Ava avaleht, kontaktivorm, e-poe ostukorv ja kassa. Kui midagi läks katki, taasta varukoopiast ja otsi probleemne plugin üles.
5. Vaata, kas keegi on juba sees olnud. Tundmatud administraatorkasutajad, uued failid serveris või kahtlased ümbersuunamised on märgid, et leht vajab puhastust.

Kui PHP-d ei saa kohe uuendada, saab serveri seadistuses riski vähendada (näiteks session.upload_progress.enabled=0 ja madalam post_max_size). See on töö serveriadministraatorile ega asenda uuendust. PHP turvateates on kõik ajutised meetmed kirjas.

Las me teeme selle sinu eest ära

Kui sa ei tea, mis PHP versioonil su leht töötab, või ei taha ise uuendamise ajal lehte riskida, võta meiega ühendust. Me teeme nii:

• kontrollime sinu lehe PHP, WordPressi ja pluginate versioonid üle,
• teeme enne igat muudatust täisvarukoopia,
• uuendame PHP koostöös sinu majutajaga, seejärel WordPressi ja pluginad,
• testime vormid, ostukorvi ja kassa ning saadame lühikese kokkuvõtte, mida tegime.

Meie halduse klientidel on see töö juba käimas ja nad ei pea midagi tegema. Kui sinu leht pole veel halduses, vaata halduspakette (alates 50 €/kuu, pikaajalist lepingut pole). Ühekordse töö jaoks küsi pakkumist.

Lihtne esitlusleht, mis vajab niikuinii uuendamist? Siis võib uuendusest mõistlikum olla viia leht SOSEI peale. SOSEI ehitab olemasolevast lehest uue kaasaegse versiooni, millel pole PHP-d ega WordPressi, mida paigata. Hind on 19,90 €/kuu, majutus on hinna sees ja esimesed 14 päeva on tasuta.

Tahad teada, kuidas sinu leht seisab? Kirjuta info@kodulehehaldus.com, helista +372 5699 0777 või broneeri aeg kalendris. Vaatame lehe üle ja ütleme ausalt, mida on vaja teha.

Allikad: php.net turvateade (21.10.2026) · GHSA-w8hw-w9fx-j79w (CVE-2026-109618) · GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)