Kui Läti või Soome on sulgenud tähtsad veebilehed, nagu näiteks valitsuse kodulehe või rahvusringhäälingu veebilehe, siis Eestis pole sellist ohtu, et seda tegema peaks.

"Õnneks oleme Eestis küberi osas üsna heal järjel ja oleme palju tööd teinud selleks, et asju ka ette näha ning kaitsta oma veebe täiendavate meetmetega. See tähendab, et riigisektori ja avaliku sektori oluliste veebide puhul meil hetkel on kaitse olemas," lausus riigi infosüsteemi ameti küberturvalisuse keskuse arhitekt Veikko Raasuke. 

Raasuke ütles, et kaitse sai loodud juba üheksa tundi enne seda, kui need uuendused avalikult välja anti.

"Nii et riikliku sektori ja elutähtsa teenuse osutajate vaates me praegu mingisugust kõrgendatud kriisi ei näe," lausus Raasuke.

Raasuke selgitas, et PHP on üks komponent, mida kasutatakse veebide pakkumisel, serveerimisel ja ülesehitamisel. Seda nimetatakse raamistikuks, mille sees veebileht ja selle komponendid töötavad.

"Nüüd leiti PHP-st kaks kriitilist haavatavust, mida on võimalik ära kasutada. See tähendab seda, et on võimalus ligi pääseda serveritele kasutajanime ja autentimisvahendeid teadmata," rääkis Raasuke.

Hetkeseisuga RIA ärakasutatud haavatavustest Eesti veebimaailmas teadlikud veel ei ole.

"Küll aga me seirame seda olukorda pidevalt. PHP on üks enim levinud raamistikke, mida veebiteenustes kasutatakse – sealjuures väga erinevad veebimootorid, Drupal, Joomla, WordPress, mis on hästi laialt levinud. Kuna neid kõiki kasutatakse, tähendab see, et Eesti piires räägime kindlasti kümnetest tuhandetest serveritest, mis on sellele haavatavusele vastuvõtlikud," lausus Raasuke.

Kella 17 kolmapäeval on saadaval tarkvara uuendatud versioon, kus tarkvara lähtekoodis on parandatud turvaaugud ja välja antud uus versioon.

"Veebide omanikud peavad tegema PHP raamistiku uuenduse oma serverites, et seda viga nende vastu ära kasutada ei saaks," selgitas Raasuke.

Küberrünnakuoht üle maailma

PHP-d kasutatakse suures osas internetist ning viimase ööpäeva jooksul on levinud spekulatsioonid, et seda tarkvara kasutavad veebilehed võivad langeda tõsiste küberrünnakute ohvriks.

"PHP on kõikjal. See käitab märkamatult WordPressi, Drupali, Joomla ja Magento lehti, jagatud veebimajutusplatvorme, juhtpaneele ja tohutul hulgal tarkvara, mis ei reklaamigi, et nende mootoriks on PHP," teatas küberturvalisuse ettevõte Huntress oma blogipostituses.

Turvauuenduse teates märgiti, et mõlema haavatavuse raskusaste CVSS v4.0 skaalal on 9,2. Kasutajaid kutsuti üles paigaldama uuendus kohe, kui see kättesaadavaks muutub.

PHP turvameeskond on teatanud, et avaldab turvaparandused kolmapäeval kell 17 Eesti aja järgi. 

Veebi- ja pilveturbeettevõtte Cloudflare tehnoloogiajuht Dane Knecht ütles, et esimesed rünnakud on juba alanud ning Cloudflare uuendab ajutise meetmena oma tulemüüri reegleid.

"Juba on märgata esimesi ründeid ning kaitsemeetmeid uuendatakse vastavalt uute ründevektorite ilmnemisele. See on üksnes AJUTINE LAHENDUS. Paigaldage parandus kohe, kui PHP uuenduse avaldab," kirjutas Knecht sotsiaalmeedias.

Euroopa Liidu küberintsidentide lahendamise üksus (CERT-EU) märkis teisipäeval avaldatud ohuhinnangus, et raskusaste 9,2 viitab autentimata koodi kaugkäivitamise ohule. See on viga, mis võimaldab ründajatel käivitada haavatavates süsteemides pahatahtlikku koodi ilma sisse logimata.

CERT-EU kutsus organisatsioone üles valmistuma mõjutatud süsteeme viivitamatult paikama ning soovitas neil, kes seda teha ei saa, kaaluda veebilehtede ajutist võrgust eemaldamist.

Sarnase juhise andis ka Austraalia küberjulgeolekukeskus (ACSC), kutsudes organisatsioone üles tuvastama oma keskkondades PHP-süsteeme, valmistuma turvaparanduste paigaldamiseks ning jälgima rakendusi pahatahtliku tegevuse märkide suhtes.

"ACSC-le ei ole praegu teada, et neid turvaauke oleks aktiivselt ära kasutatud," teatas amet.

Veebimajutusteenuse pakkuja GoDaddy teatel võivad turvaaugud lubada ründajatel käivitada mõjutatud serverites interneti kaudu koodi, mis võib potentsiaalselt viia andmete varguse, veebilehe rikkumise või kogu süsteemi kompromiteerimiseni.

WordPressi veebilehti kaitsva turvapistikprogrammi Wordfence arendajad märkisid, et kõik WordPressi lehed töötavad PHP-ga varustatud serverites. Ettevõte hoiatas, et automaatsed uuendused ei paigalda turvaparandust, ja soovitas veebilehtede omanikel välja selgitada, kes vastutab nende saitidel PHP uuendamise eest.

PHP turvameeskonna sõnul avaldatakse haavatavuste, mõjutatud versioonide ja parandatud väljalasete üksikasjad koos turvaparanduste väljastamisega.

RIA soovitab valmistuda turvaparanduste viivitamatuks paigaldamiseks

RIA soovitab kõigil PHP-d kasutavate süsteemide haldajatel valmistuda turvaparanduste viivitamatuks paigaldamiseks.

Praegu teadaoleva info põhjal võib haavatavuste ärakasutamine võimaldada autentimata ründajal käivitada haavatavas süsteemis mis tahes käske, rõhutas amet.

Avalikkuses on juba ilmunud teateid haavatavuste võimalikest ärakasutamise viisidest.

"PHP on laialdaselt kasutusel veebirakendustes, internetti ühendatud ja asutusesisestes infosüsteemides ning konteinerkeskkondades. Seetõttu kujutavad turvanõrkused endast olulist riski paljudele infosüsteemidele," märkis RIA.

RIA soovitab teenusepakkujatel ja süsteemiadministraatoritel esimesel võimalusel tuvastada kõik PHP-d kasutavad süsteemid ning valmistuda turvaparanduste paigaldamiseks kohe pärast nende avaldamist. Kui süsteeme ei ole võimalik viivitamata uuendada, tuleb rakendada ajutisi leevendusmeetmeid.

Soome sulges ettevaatusabinõuna riigi avalikud veebilehed

Soome riiklik IT-keskus Valtori teatas avalduses, et sulges kolmapäeval ettevaatusabinõuna riigi avalikud veebiteenused, kuna laialdaselt kasutatavas PHP-tarkvaras tuvastati kaks kriitilist turvaauku.

Valtori teatel ei ole turvaaukude ärakasutamise katseid tuvastatud ning katkestus ei ole tingitud andmelekkest.

Ka Hollandi küberjulgeolekuamet teatas, et sulges turvaaukude tõttu ettevaatusabinõuna omaenda veebilehe.

Läti sulges samuti riigileheküljed. Ka Läti rahvusringhäälingu LSM veebiportaal on turvariskide tõttu maas.

Turvaaugud tuvastati tehisintellekti abiga

Alphabetile kuuluva küberturvalisuse ettevõtte Wiz blogipostituse teatel avastati PHP turvaaugud tehisintellekti abil.

Turvaaugud olid PHP koodibaasis varjul üle kümne aasta ning inimhäkkeril oleks olnud nende ärakasutamine erakordselt keeruline, märgiti postituses.

Wizi teatel tugineti uurimistöös ettevõtte autonoomsele tehisintellektipõhisele turvaaukude otsimise tööriistale Wiz Atlas ning Google'i mudelile Gemini 4 Argon ja OpenAI mudelile GPT-5.6 Sol. 

Turvaaugu avastamisel ja turvaparanduse kontrollimisel tegi Wiz koostööd PHP meeskonna, OpenAI ning küberturbeettevõttega Calif.

Klientide kaitsmiseks ja kaitsemeetmete ettevalmistamiseks tehti koostööd ka Google Cloudi, Cloudflare'i, Amazoni  AWS-i, Microsofti, WordPress.com-i operaatori Automattici ning mitme teise ettevõttega.

Valge Maja avalduse kohaselt saadi turvaaugust teada reedel.

"See avastus näitab ilmekalt, miks Ameerika juhtpositsioon SI valdkonnas on nii kriitilise tähtsusega," seisis avalduses, viidates president Donald Trumpi eelistatud terminile tehisintellekti kohta. "See on Ameerika innovatsioon, mis tugevdab meie riiklikku julgeolekut."