PHP-ohjelmointikielestä on ilmoitettu kaksi kriittistä tietoturvahaavoittuvuutta. Molempien vakavuudeksi on arvioitu 9,2/10 (CVSS 4.0). PHP:n kehittäjät ovat ilmoittaneet julkaisevansa korjauspäivitykset keskiviikkona 21.10.2026 klo 17 Suomen aikaa
Miten haavoittuvuudet vaikuttavat Ajas-järjestelmään?
Ajas-järjestelmän tietoturvasta vastaavat asiantuntijamme ryhtyivät ennakoiviin suojaustoimiin heti haavoittuvuustiedon tultua julki. Poistimme käytöstä ne ominaisuudet ja asetukset, joilla oli tunnettu yhteys haavoittuvuuden hyväksikäyttöön. Ominaisuuksien poistamisella hyväksikäyttöriskiä voitiin rajoittaa jo ennaltaehkäisevästi.
Asensimme PHP:n viralliset tietoturvakorjaukset kaikkiin järjestelmiin viipymättä niiden tultua saataville. Haavoittuvuuksien tarkemmat tekniset yksityiskohdat ja vaikutukset täsmentyivät korjausten julkaisun yhteydessä. Totesimme tiedon tarkentumisen myötä, että tekemämme ennakoivat toimenpiteet olivat asianmukaisia ja tarpeellisia riskien vähentämiseksi ennen kuin päivitys tuli saataville ja voitiin asentaa.
Huomaathan, että korjauspäivitysten kiireellinen asentaminen voi aiheuttaa ennakoimattomia katkoja järjestelmän käyttöön. Esimerkiksi tiedostojen lähettämistä palvelimelle rajoitettiin väliaikaisesti, yhtenä suojaustoimena.
Useita tietoturvakerroksia
Ajas-järjestelmän tietoturva ei perustu vain yhteen suojaukseen. Järjestelmän arkkitehtuuri on suunniteltu siten, että eri suojaukset ja käyttöoikeuksien rajaukset rajoittavat mahdollisen yksittäisen haavoittuvuuden vaikutuksia.
Yhden haavoittuvuuden hyödyntäminen tai yhden suojauskerroksen ohittaminen ei siten automaattisesti tarkoita rajatonta pääsyä järjestelmän kaikkiin tietoihin. Tämä ei poista haavoittuvuuksiin liittyviä riskejä, mutta auttaa rajoittamaan mahdollisten tietoturvapoikkeamien vaikutuksia.
Seuraamme tilannetta ja toteutamme päivitykset
Suhtaudumme haavoittuvuuksiin vakavasti ja seuraamme PHP:n kehittäjien sekä Kyberturvallisuuskeskuksen tiedotteita. Toteutamme tarvittavat lisätoimet uusien tietojen perusteella ja parannamme ennaltaehkäisevästi valmiutta tehdä tulevaisuudessa päivityksiä entistä nopeammin. Ajas-asiakkaiden ei tarvitse tehdä näihin palvelinpuolen suojaustoimiin liittyen itse muutoksia.
