Traficom vahvistaa: PHP-haavoittuvuuksia ei ole hyväksikäytetty Suomessa
Päätelmä perustuu viranomaisen jatkuvaan verkkoskannaukseen, vaikka korjausten asentaminen on vielä kesken monissa organisaatioissa.
Tiivistelmä
Traficomin Kyberturvallisuuskeskus kertoo viikkokatsauksessaan, että kahden kriittisen PHP-haavoittuvuuden hyväksikäyttöä ei ole havaittu Suomessa. Korjaukset haavoittuvuuksiin julkaistiin 21.10., ja osa organisaatioista sulki sivustojaan tilapäisesti varotoimena korjausten asentamisen ajaksi. Tavallisen verkkopalvelujen käyttäjän ei tarvitse ryhtyä asian johdosta erityisiin toimiin.
Suomessa ei ole havaittu onnistunutta hyväksikäyttöä kriittisissä PHP-haavoittuvuuksissa, kertoo Traficomin Kyberturvallisuuskeskus viikkokatsauksessaan 23.10. Sama arvio toistuu Traficomin omalla verkkosivulla, joka julkaistiin samana päivänä.
Kyberturvallisuuskeskus jatkaa Suomen verkkoavaruuden skannaamista löytääkseen kriittisesti haavoittuvat järjestelmät ja tavoittaakseen niiden ylläpitäjät, vaikka nämä eivät olisi itse huomanneet olevansa alttiina haavoittuvuudelle.
Kyse on kahdesta kriittisestä haavoittuvuudesta, CVE-2026-109618 ja CVE-2026-109619, joiden yhteinen CVSS 4.0 -pisteytys on 9,2. Molemmat mahdollistavat etäkoodin suorittamisen palvelimella ilman kirjautumista, ja korjaukset niihin julkaistiin 21.10. Vika sijaitsee PHP-ohjelmointikielen ydinkoodissa, joten se koskettaa laajasti kielen päälle rakennettuja verkkosivustoja eikä yksittäistä sovellusta. Osa organisaatioista sulki verkkosivustojaan tilapäisesti varotoimena korjausten asentamisen ajaksi.
Valtori rajoitti valtionhallinnon verkkopalvelujen liikennettä samasta syystä jo 21.10., ja korjaustyö on jatkunut useissa organisaatioissa koko viikon.
Kyberturvallisuuskeskus tiedotti omaa verkostoaan haavoittuvuuksista ja päivitti ohjeistustaan samana iltana, kun korjaukset julkaistiin.
Korjausten asentaminen ei ole vielä valmis kaikkialla, minkä vuoksi Kyberturvallisuuskeskus pitää tilannetta edelleen seurannassa.
Roni Kokkola, Traficomin Kyberturvallisuuskeskuksen tietoturva-asiantuntija, painottaa päivitysten kiireellisyyttä.
– PHP:hen liittyvät kriittiset haavoittuvuudet ovat merkittäviä, koska PHP:tä käytetään erittäin laajasti verkkopalveluissa. Organisaatioiden on tärkeää päivittää PHP:tä käyttävät verkkosivustot ja muut järjestelmät mahdollisimman nopeasti, jotta haavoittuvuuksia ei päästä hyödyntämään.
Traficom kertoo, että tavallisen verkkopalvelujen käyttäjän ei tarvitse tehdä asian johdosta erityisiä teknisiä toimia, vaikka omien laitteiden ja ohjelmistojen pitäminen ajan tasalla on edelleen suositeltavaa.
Mitä tehdä
- Tavallisen käyttäjän ei tarvitse ryhtyä erityisiin toimiin tämän päivityksen johdosta, koska kyse on verkkopalvelujen ylläpitäjien korjaustyöstä.
- Pidä omat laitteet ja ohjelmistot ajan tasalla yleisesti, vaikka tämä yksittäinen haavoittuvuus ei niitä suoraan koske.
- Jos käyttämäsi palvelu ilmoittaa tietoturvapoikkeamasta, noudata sen omia ohjeita äläkä tee omia johtopäätöksiä tilanteesta.
Lähteet
- Traficom (23.10.2026)
- Kyberturvallisuuskeskus (viikkokatsaus 43/2026) (23.10.2026)
- Yle (Ville Lappalainen) (23.10.2026)