Valtori ajoi valtion verkkosivuja alas varotoimena – syynä kriittinen PHP-haavoittuvuus
Haavoittuvuudet vuotivat rikollisfoorumille kaksi päivää ennen korjausta, joten Valtori päätti sulkea yhteydet ennen todistettua hyväksikäyttöä.
Tiivistelmä
Valtori rajoitti valtionhallinnon verkkopalvelujen liikennettä 21.10. varotoimena, kun PHP-ohjelmointikielen ytimessä paljastui kaksi kriittistä etäkoodin suorittamisen mahdollistavaa haavoittuvuutta. Katko näkyi tuttujen sivustojen, kuten Maanmittauslaitoksen ja Puolustusvoimien, pimenemisenä, vaikka Valtori sanoo, ettei kyse ollut tietomurrosta. Kyberturvallisuuskeskuksen viimeisin tiedote ei vielä vahvistanut aktiivista hyväksikäyttöä, mutta tietoturvayhtiöt watchTowr ja Hadrian raportoivat sen jälkeen hyväksikäyttöyrityksistä.
Valtion tieto- ja viestintätekniikkakeskus Valtori rajoitti 21.10. valtionhallinnon julkisten verkkopalvelujen saapuvaa liikennettä noin kello 12.45–14.00 varotoimena.
Taustalla oli PHP-ohjelmointikielen ytimessä paljastunut kaksi kriittistä haavoittuvuutta, joiden yhteinen CVSS 4.0 -pisteytys on 9,2 eli kriittinen.
Valtori tuottaa valtion virastoille yhteisiä tietotekniikkapalveluja, ja rajoitus kohdistettiin keskitetysti kaikkeen ulkoa päin tulevaan liikenteeseen, ei yksittäiseen virastoon. Vika itsessään ei ole suomalainen vaan koko PHP-ohjelmointikielessä oleva, mutta Valtorin kautta kulkeva liikenne teki vaikutuksesta keskitetyn.
Valtorin varotoimi näkyi tavalliselle käyttäjälle tuttujen valtion sivustojen pimenemisenä tai toimimisena vajaateholla. Maanmittauslaitos ja Kansallisarkisto kärsivät häiriöistä, ja Puolustusvoimat ajoi käyttöön riisutun version omasta sivustostaan.
Samana päivänä PHP:n haavoittuvuus näkyi myös muualla: Keski-Suomen hyvinvointialueella, Jyväskylän ja Tampereen yliopistoissa, Helsingin kirjamessuilla, Suomen elokuvasäätiö SES:ssä ja osassa Yle:n verkkopalveluita.
Valtionhallinnon sähköpostiliikenteessä oli iltapäivällä myös lyhyt häiriö, joka korjattiin samana päivänä.
Valtori painotti, ettei katko liity murtoon.
– Käyttökatko ei johdu haavoittuvuuksien hyväksikäytöstä tai tietomurrosta, eikä viitteitä tällaisesta ole havaittu, Valtori kertoi tiedotteessaan.
Valtori ei ollut keskiviikkona ilmoittanut, milloin palvelut palautuvat kokonaan normaaliksi. Korjausten asentaminen käynnistyi samana iltana.
Kaksi vikaa, yksi vuotanut työkalu
Haavoittuvuudet CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) ja CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp) mahdollistavat molemmat etäkoodin suorittamisen palvelimella ilman käyttäjän lupaa. Molemmat sijaitsevat PHP:n ydinkoodissa, joten ne koskettavat käytännössä kaikkia kielen päälle rakennettuja verkkosivustoja eikä vain yksittäistä sovellusta tai liitännäistä.
RCE-haavoittuvuus (etäkoodin suorittaminen)
RCE-haavoittuvuus antaa ulkopuolisen hyökkääjän ajaa omia komentojaan palvelimella ilman lupaa. Todellinen riski tässä tapauksessa on, että hyökkääjä istuttaa haavoittuvaan palvelimeen piilotetun hallintapaneelin, verkkokuoren, myöhempää hyväksikäyttöä varten. Siksi nopea päivitys on tärkeää, vaikka näkyvää vahinkoa ei toistaiseksi olisi havaittu.
Ensimmäinen, CVE-2026-109618, syntyy muistin loppuessa kesken ajon tavalla, joka korruptoi ohjelman tilan. Toinen, CVE-2026-109619, hyödyntää ohjelmaan jäävää vanhentunutta globaalia tilaa. Molemmat vaikuttavat kaikkiin PHP-versioihin, jotka julkaistiin ennen versioita 8.5.12, 8.4.27, 8.3.36 ja 8.2.35, ja PHP 8.1 ja sitä vanhemmat versiot eivät saa virallista korjausta lainkaan.
Haavoittuvuudet vuotivat julkisuuteen ennenaikaisesti. Yksityiskohdat ja PHP2Shell-nimetty hyväksikäyttötyökalu ilmestyivät rikollisfoorumille noin 20.10., kaksi päivää ennen suunniteltua koordinoitua julkistusta, ja tietoturvayhtiö watchTowr vahvisti vuodon aidoksi sekä toisti itse CVE-2026-109618:n hyväksikäytön samana päivänä.
Rikolliset saivat siten toimivan hyökkäystyökalun käsiinsä kaksi vuorokautta ennen korjausten julkaisua.
PHP:n oma tietoturvatiimi julkaisi hätäpäivitykset 21.10. noin kello 17 Suomen aikaa.
Kyberturvallisuuskeskus julkaisi omasta haavoittuvuudesta kertovan tiedotteensa samana päivänä kello 10.06, jo ennen virallisia korjauksia, ja päivitti sitä viimeksi kello 17.58.
Mitä hyväksikäytöstä tiedetään
Kyberturvallisuuskeskuksen tiedote ei keskiviikkoiltaan 21.10. mennessä ollut vahvistanut aktiivista hyväksikäyttöä.
Tietoturvayhtiöt watchTowr ja Hadrian raportoivat kuitenkin samana päivänä, keskuksen viimeisimmän päivityksen jälkeen, erillisistä havainnoista hyökkäysyrityksistä.
– Havaitsimme aktiivisia hyväksikäyttöyrityksiä molempia haavoittuvuuksia kohtaan, watchTowr kertoi.
Hadrian, jonka havainnot SecurityWeek uutisoi, raportoi PHP2Shell-työkalua hyödynnettävän laajamittaisesti luonnossa, hyväksikäyttäen PHP:n session.upload_progress-asetuksen käsittelyä. Kumpikaan yhtiö ei nimennyt yhtäkään vahvistetusti murrettua organisaatiota, suomalaista tai muuta.
Tietoturva-skannausyhtiö Censys arvioi maailmassa olevan noin 2,58 miljoonaa internetiin suoraan näkyvää PHP-palvelinta ja 54,9 miljoonaa PHP:tä käyttävää verkkosivustoa, Krebs on Security kertoi. Tietoturvayhtiö Wiz muistutti taustaksi, että PHP pyörittää noin 70 prosenttia kaikista verkkosivustoista.
– Näitä löydöksiä voidaan pitää yhtenä vakavimmista PHP:stä koskaan löydetyistä haavoittuvuuksista, ja ehkä yhtenä vakavimmista koko ohjelmistohistoriassa, Wiz arvioi.
Mitä tehdä
Verkkosivuston ylläpitäjän, niin pienyrittäjän kuin keskustelufoorumin ylläpitäjän, kannattaa toimia nopeasti.
- Päivitä PHP korjattuun versioon ja käynnistä verkkopalvelin uudelleen. Se on ainoa täydellinen korjaus.
- Jos päivitys ei onnistu heti, poista session.upload_progress-asetus käytöstä väliaikaisena suojana.
- Kysy hosting-palveluntarjoajalta, onko korjaus jo asennettu.
Lähteet
- Valtori (21.10.2026)
- Kyberturvallisuuskeskus (21.10.2026)
- Yle (21.10.2026)
- watchTowr (21.10.2026)
- PHP.net (21.10.2026)
- Censys (via Krebs on Security) (21.10.2026)
- Wiz (21.10.2026)
- SecurityWeek (Hadrian) (21.10.2026)