Atklāts bīstams PHP drošības caurums. Latvija daļai digitālo resursu ierobežo piekļuvi no ārvalstīm

Kā ziņots, PHP programmēšanas valodas izstrādātāji otrdien paziņoja, ka ir identificējuši divas kritiskas drošības ievainojamības, un aicināja lietotājus atjaunināt savas vietnes, tiklīdz būs pieejami drošības labojumi.

Lai pasargātu valsts informācijas sistēmas no iespējamiem kiberuzbrukumiem, saistībā ar divām kritiskām PHP programmatūras ievainojamībām pieņemts lēmums uz laiku ierobežot piekļuvi vairākiem valsts digitālajiem resursiem no ārvalstīm. Šie preventīvie drošības pasākumi tiks piemēroti selektīvi, lai mazinātu apdraudējumu un nodrošinātu drošības atjauninājumu savlaicīgu ieviešanu, norāda "Cert.lv".

Piekļuves ierobežojumi varētu būt spēkā līdz pirmdienai, 26. oktobrim, atkarībā no drošības atjauninājumu ieviešanas gaitas. Paredzams, ka iedzīvotājus, kuri valsts digitālajiem pakalpojumiem piekļūst no Latvijas, šie ierobežojumi neietekmēs. Vienlaikus šobrīd nav informācijas, ka Latvijā kāda informācijas sistēma būtu kompromitēta, izmantojot minētās ievainojamības, norāda "Cert.lv".

Reaģējot uz globāli izziņotu kritisku drošības apdraudējumu PHP programmēšanas valodā, uz laiku apturēta Latvijas Radio mājaslapas, mobilās lietotnes un portāla "LSM.lv" darbība, sociālajos medijos informē Latvijas Sabiedriskais medijs.

Lai izvairītos no iespējamiem kiberdrošības riskiem un reaģējot uz globāli izziņotu kritisku drošības apdraudējumu PHP programmēšanas valodā, uz laiku apturēta Latvijas Radio mājaslapas, mobilās lietotnes un portāla https://t.co/tvs3nqsP8r darbība. pic.twitter.com/mQQqLT2FMv

— Latvijas Sabiedriskais medijs (@lsmlv) October 21, 2026

Jāpiebilst, ka situācija līdzīga arī citviet. Trešdien vairākas valdību tīmekļa vietnes Eiropā un citviet pasaulē uz laiku pārtrauca darbību pēc tam, kad informācija par kritiskām ievainojamībām plaši izmantotā programmēšanas valodā lika vietņu uzturētājiem steidzami meklēt veidus, kā aizsargāt savas sistēmas, raksta "Reuters".

Kas noticis?

"Cert.lv" un Eiropas Savienības kiberdrošības dienests CERT-EU brīdina par divām kritiskām PHP programmatūras ievainojamībām, kas var apdraudēt tīmekļa vietņu un digitālo pakalpojumu drošību. PHP ir plaši izmantota tīmekļa programmēšanas tehnoloģija, uz kuras balstās gan valsts informācijas sistēmas, gan uzņēmumu mājaslapas, interneta veikali un klientu portāli.

Minētās ievainojamības (CVE-2026-109618 un CVE-2026-109619) ir kritiskas, un to bīstamība CVSS skalā novērtēta ar 9.2 punktiem no 10. Tās ietekmē PHP programmatūras versijas, sākot no PHP 5, un var ļaut uzbrucējiem bez autentifikācijas attālināti izpildīt ļaunprātīgu kodu ievainojamos serveros, potenciāli apdraudot datu drošību un pakalpojumu nepārtrauktību. Ievainojamības skar dažādus PHP tīmekļa pieprasījumu apstrādes risinājumus, tostarp PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed.

PHP izstrādātāji 21. oktobrī ir publicējuši ārkārtas drošības atjauninājumus, un sistēmu uzturētāji tiek aicināti nekavējoties atjaunināt PHP programmatūru uz labotajām versijām – 8.5.12, 8.4.27, 8.3.36 vai 8.2.35. Īpaša uzmanība jāpievērš sistēmām, kurās joprojām tiek izmantotas novecojušas un ražotāja neatbalstītas PHP versijas.

PHP izstrādātāji ir publicējuši arī ieteikumus ievainojamību ietekmes mazināšanai neatbalstītās programmatūras versijās, tomēr šie pasākumi tikai daļēji ierobežo iespējamos uzbrukumu veidus un neaizstāj drošības atjauninājumus. Sistēmām, kuras nav iespējams atjaunināt uz drošu PHP versiju, ir jāierobežo piekļuve no interneta, nepieļaujot to publisku pieejamību līdz drošības risku novēršanai.

Arī privātā sektora uzņēmumi tiek aicināti nekavējoties pārbaudīt savas IT sistēmas un uzstādīt pieejamos drošības atjauninājumus. Īpaša uzmanība jāpievērš publiski pieejamām mājaslapām, interneta veikaliem, klientu portāliem un citām biznesam kritiskām sistēmām. Uzņēmumiem nepieciešams sazināties ar saviem IT uzturētājiem vai hostinga pakalpojumu sniedzējiem, lai pārliecinātos par izmantotajām PHP versijām un nepieciešamo atjauninājumu ieviešanu.

"Cert.lv "uzsver, ka kritisku ievainojamību gadījumā būtiska ir savlaicīga un koordinēta rīcība. Preventīvi piekļuves ierobežojumi ir pagaidu aizsardzības pasākums, savukārt operatīva drošības atjauninājumu uzstādīšana ir būtiska gan valsts, gan privātā sektora informācijas sistēmu drošībai un digitālo pakalpojumu nepārtrauktībai.