2026 m. spalio 21d. paskelbta apie du kritinius PHP saugumo pažeidžiamumus (CVE-2026-109618 ir CVE-2026-109619), kurie tam tikromis sąlygomis gali leisti kibernetiniams nusikaltėliams nuotoliniu būdu vykdyti kenkėjišką kodą pažeidžiamuose serveriuose. Ši naujiena aktuali ne tik IT specialistams – ji svarbi ir verslams, kurių interneto svetainės ar el. parduotuvės naudoja PHP technologiją.
Nors tokio pobūdžio saugumo spragos ne visada pastebimos įprastai naudojantis svetaine, jų pasekmės gali būti reikšmingos. Todėl visada svarbu įvertinti naudojamą PHP aplinką ir laiku įdiegti reikalingas saugumo pataisas.
Kas nutiko ir kodėl šios spragos pavojingos?
PHP yra viena plačiausiai interneto svetainių kūrimui naudojamų programavimo kalbų. Jos pagrindu veikia daugybė populiarių turinio valdymo sistemų, tarp jų – „WordPress“, taip pat įvairios el. prekybos ir individualiai sukurtos interneto sistemos.
Spalio 21d. paviešinti du PHP saugumo pažeidžiamumai, susiję su nuotolinio kodo vykdymo (angl. Remote Code Execution, RCE) rizika.
Paprastai tariant, tam tikromis aplinkybėmis šios spragos gali suteikti galimybę piktavaliams vykdyti neleistinas komandas serveryje. Priklausomai nuo serverio konfigūracijos ir kitų apsaugos priemonių, tai gali sudaryti sąlygas sutrikdyti svetainės veikimą, pasiekti joje saugomus duomenis ar panaudoti serverį tolesnei kenkėjiškai veiklai. Svarbu pabrėžti, kad ne kiekviena PHP naudojanti svetainė automatiškai yra pažeidžiama. Rizika priklauso nuo konkrečios PHP versijos, serverio konfigūracijos ir to, ar jau įdiegtos saugumo pataisos.
Ką tai reiškia jūsų verslui?
Interneto svetainė daugeliui įmonių yra ne tik informacijos pateikimo vieta. Ji padeda pritraukti potencialius klientus, generuoja užklausas, priima užsakymus ir dažnai yra tiesiogiai susijusi su verslo pajamomis.
Todėl saugumo incidentas gali turėti gerokai platesnių pasekmių nei vien techninis svetainės sutrikimas.
Pavyzdžiui, jei dėl kibernetinės atakos el. parduotuvė tampa nepasiekiama, verslas gali prarasti užsakymus ir pajamas. Jei pažeidžiami klientų duomenys, atsiranda papildomų teisinių, reputacijos ir pasitikėjimo iššūkių. Net ir trumpalaikiai svetainės veikimo sutrikimai gali paveikti vykdomų reklamos kampanijų rezultatus – už reklamą mokama, tačiau lankytojai negali tinkamai pasiekti svetainės ar atlikti norimo veiksmo.
Dar vienas svarbus aspektas – svetainė gali atrodyti visiškai tvarkinga, nors jos techninėje aplinkoje egzistuoja saugumo spragų. Todėl vien tai, kad svetainė veikia ir joje nesimato jokių problemų, nereiškia, jog jos saugumu pasirūpinta tinkamai.
Kokių veiksmų reikėtų imtis?
Pirmiausia reikėtų išsiaiškinti, kokia PHP versija naudojama jūsų svetainės serveryje ir ar jai jau įdiegtos naujausios saugumo pataisos.
Jeigu svetainės techninę priežiūrą atlieka išorinis paslaugų teikėjas, rekomenduojama susisiekti su juo ir pasitikslinti, ar įvertinta naujausių pažeidžiamumų rizika bei atlikti reikalingi atnaujinimai.
Kodėl nepakanka vien atnaujinti „WordPress“?
Svarbu žinoti, kad PHP atnaujinimas nėra tas pats, kas „WordPress“ ar kitų turinio valdymo sistemų atnaujinimas. Kadangi aptariami pažeidžiamumai susiję su PHP aplinka, vien įskiepių, temų ar pačios turinio valdymo sistemos atnaujinimo gali nepakakti.
Atnaujinimai taip pat turi būti atliekami atsakingai. Keičiant PHP versiją būtina įvertinti jos suderinamumą su svetaine, naudojamais įskiepiais ir kitais techniniais sprendimais. Prieš atliekant pakeitimus rekomenduojama pasirūpinti atsargine kopija, o po atnaujinimo patikrinti, ar visos svetainės funkcijos veikia tinkamai.
Jeigu kyla įtarimų, kad spragos galėjo būti išnaudotos dar prieš atnaujinimą, reikalinga ir papildoma saugumo patikra. Vien įdiegta pataisa nepašalina galimų ankstesnio įsilaužimo pasekmių.
Market Smart komanda jau ėmėsi reikalingų veiksmų
Reaguodama į spalio 21d. paskelbtą informaciją, Market Smart komanda nedelsdama pradėjo prižiūrimų klientų svetainių techninės aplinkos patikrą ir atliko reikalingus saugumo atnaujinimus.
Tokiose situacijose svarbu veikti operatyviai, tačiau ne mažiau svarbu užtikrinti, kad atnaujinimai nesutrikdytų įprasto svetainių veikimo. Todėl techninė priežiūra apima ne tik naujausių pataisų įdiegimą, bet ir svetainės veikimo bei suderinamumo patikrą.
Šis atvejis dar kartą primena, kad interneto svetainės priežiūra neturėtų apsiriboti vien naujo turinio įkėlimu ar pastebėtų klaidų taisymu. Reguliarūs techniniai atnaujinimai, saugumo patikros ir prevenciniai veiksmai yra būtina patikimai veikiančios svetainės dalis.
Verslui tai reiškia mažesnę techninių sutrikimų riziką, geresnę duomenų apsaugą ir didesnį užtikrintumą, kad vienas svarbiausių skaitmeninių kanalų veiks sklandžiai.
Nežinote, ar jūsų svetainėje įdiegtos naujausios PHP saugumo pataisos? Susisiekite su Market Smart komanda – padėsime įvertinti svetainės techninę būklę ir pasirūpinti reikalingais atnaujinimais.