23.10.2026
Tiistai-iltana 20. lokakuuta kaksi vakavaa PHP-haavoittuvuutta, CVE-2026-109618 ja CVE-2026-109619, tulivat julki, kun niistä vuoti tietoa sosiaaliseen mediaan.
Keskiviikkona, 21 lokakuuta klo 14 UTC (klo 17 Suomen aika) PHP -yhdistys julkaisi korjauksen versiolla 8.5.12.
Q-Net haluaa vakuuttaa asiakkailleen, että olemme ryhtyneet tarvittaviin tietoturvatoimenpiteisiin ja päivittäneet kaikkien ylläpitämiemme verkkosivustojen PHP-versiot haavoittuvuudet korjaaviin versioihin.
Asiakkaidemme verkkosivustojen tietoturva on meille ensisijaisen tärkeää.
Lisätietoa haavoittovuuksista:
- RCE via OOM corruption, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): Etäkoodin suoritus muistin loppumisesta johtuvan korruption kautta, jossa muistin loppumisen käsittely voi keskeyttää PHP:n silloin, kun pyynnön sisäinen data on alustettu vain osittain. Pyynnön siivousvaihe voi tällöin käsitellä virheellistä dataa kelvollisena.
- RCE via stale global state, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): Etäkoodin suoritus vanhentuneen globaalin tilan kautta, jossa pyynnölle kuuluva sisäinen tila voi säilyä senkin jälkeen, kun sen taustalla oleva muisti on vapautettu. Saman työprosessin myöhemmin käsittelemä pyyntö voi käyttää tätä vanhentunutta tilaa ennen kuin normaali alustus nollaa sen.