Kiireinen lokakuu ohjelmistojen tietoturvassa: kriittisiä haavoittuvuuksia PHP:ssä, GitLabissa, Node.js:ssä ja Symfonyssä
Muutama sana tästä blogista
Työssämme tulee jatkuvasti vastaan teknisiä ongelmia, tietoturvakysymyksiä ja ohjelmistojen yllättävää toimintaa. Osa havainnoista voi kiinnostaa muitakin.
Päätimme kirjoittaa niistä tänne silloin tällöin. Ei mitään turhan virallista — kerromme, mitä olemme selvittäneet, mitä olemme oppineet ja mitkä tekniset yksityiskohdat ansaitsevat mielestämme tulla jaetuiksi.
Ensimmäisessä kirjoituksessamme tarkastelemme useita vakavia tietoturvahaavoittuvuuksia, jotka tulivat julki lokakuussa 2026.
Yksi viikko, useita kriittisiä haavoittuvuuksia
Lokakuun 15.–23. päivänä useisiin laajalti käytettyihin ohjelmistoihin julkaistiin korjauksia kriittisten haavoittuvuuksien vuoksi.
| Ohjelmisto | CVE | Vaikutus | CVSS |
|---|---|---|---|
| PHP | CVE-2026-109618, 109619 | Etäkoodin suoritus | 9.2 |
| GitLab / Onigmo | CVE-2026-89078, 93577, 97229, 110264 | Etäkoodin suoritus | Jopa 10.0 |
| Node.js | CVE-2026-111497 | Muistin korruptio / RCE | 9.2 |
| Symfony | CVE-2026-108082 | Palvelunesto | 8.7 |
PHP: niin vakavia haavoittuvuuksia, että viranomaissivustoja suljettiin varotoimena
Kaksi PHP:n haavoittuvuutta, jotka tunnettiin yhteisnimellä PHP2Shell, saattoivat mahdollistaa koodin suorittamisen etänä ilman tunnistautumista.
Ongelmat liittyivät muistin vioittumiseen ja globaalin tilan virheelliseen käsittelyyn. Korjaukset julkaistiin 21. lokakuuta versioissa PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.
Mahdolliset seuraukset olivat niin vakavia, että Suomen valtionhallinnon ICT-palvelukeskus Valtori rajoitti väliaikaisesti pääsyä useisiin julkisiin palveluihin varotoimena. Vastaavista toimista raportoitiin muissakin Euroopan maissa.
Sivustojen sulkemisen taustalla ei ollut vahvistettua tietomurtoa. Viranomaiset eivät halunneet ottaa riskiä.
GitLab: haavoittuvuuksia kahdentoista vuoden ikäisessä koodissa
Neljä GitLabissa havaittua haavoittuvuutta juontui Onigmo-säännöllisten lausekkeiden moottorista, jota Ruby käyttää.
Viat liittyivät muistinhallinnan ongelmiin ja kokonaislukujen ylivuotoihin. Tietyissä olosuhteissa tarkoituksella muotoiltu syöte voi laukaista etäkoodin suorituksen.
Kahden haavoittuvuuden CVSS-arvoksi ilmoitettiin 10.0 eli asteikon maksimi. Niiden hyödyntämisen ei kerrottu edellyttävän tunnistautumista.
Ehkä yllättävin yksityiskohta on, että haavoittuvan koodin kerrotaan olevan peräisin GitLab 7.0:sta, joka julkaistiin vuonna 2014.
Ensimmäinen korjaus osoittautui puutteelliseksi, joten lokakuussa tarvittiin vielä uusi korjauskierros.
Ruby julkaisi korjaukset 23. lokakuuta, ja niitä seurasivat päivitetyt GitLab-paketit.
The Hacker News · Tekninen analyysi
Node.js: vakava virhe pakatun datan purussa
CVE-2026-111497, lempinimeltään Node2Shell, koskee Node.js:n mukana tulevaa Brotli-purkajaa.
Virheellisesti muotoiltu pakattu tietovirta voi johtaa kirjoittamiseen varatun muistialueen ulkopuolelle ja johtaa mahdollisesti etäkoodin suoritukseen.
Koska Brotlia käytetään laajalti HTTP-pakkauksessa, sovellukset, jotka käsittelevät epäluotettua pakattua sisältöä, voivat olla haavoittuvia.
Ongelma korjattiin versioissa Node.js 22.23.4, 24.22.1 ja 26.12.1.
Symfony: välilyönneillä voi kuormittaa palvelinta
CVE-2026-108082 on säännöllisten lausekkeiden käsittelyyn liittyvä palvelunestohaavoittuvuus Symfonyn HttpFoundation-komponentissa.
Pitkiä välilyöntijonoja sisältävä, tarkoituksella muotoiltu HTTP-otsake voi johtaa säännöllisen lausekkeen poikkeuksellisen raskaaseen takaisinjäljitykseen (backtracking) ja kuluttaa runsaasti prosessoriaikaa.
Hyökkääjä voi toistuvilla pyynnöillä lamauttaa sovelluksen ilman tunnistautumista.
Haavoittuvuus sai CVSS-pistemäärän 8.7, ja se korjattiin versioissa Symfony 5.4.54, 6.4.46, 7.4.19 ja 8.1.7.
Muutama ajatus
Huomiomme kiinnittyi haavoittuvuuksien vakavuuden lisäksi siihen, kuinka arkisista asioista ne johtuivat: muistinkäsittelystä, syötteiden jäsentämisestä, säännöllisistä lausekkeista ja pakatun datan purkamisesta.
Osa vioista oli ilmeisesti pysynyt huomaamatta vuosien kehitystyön ja lukuisten ohjelmistoversioiden ajan.
On myös hyvä muistaa, ettei oman sovelluskoodin päivittäminen riitä, jos haavoittuvuus on jossakin sen käyttämässä riippuvuudessa.
Mitä aiomme tehdä asialle?
Tätä kaikkea seuratessamme tulimme yksinkertaiseen johtopäätökseen: uusien haavoittuvuuksien seuraaminen ja niiden vaikutusten tarkistaminen käsin ei ole pitkällä aikavälillä järkevä ratkaisu.
Niinpä olemme päättäneet rakentaa itsellemme robotin.
Robotti seuraisi jatkuvasti haavoittuvuustietokantoja ja tietoturvatiedotteita, tunnistaisi käyttämäämme teknologiaan mahdollisesti vaikuttavat uudet haavoittuvuudet ja käynnistäisi sitten koodimme automaattisesti eristetyissä testiympäristöissä eli hiekkalaatikkokonteissa tarvittavine riippuvuuksineen ja asetuksineen.
Näissä ympäristöissä se suorittaisi tietoturvaskannauksia ja testejä mahdollisten haavoittuvuuksien löytämiseksi — jatkuvasti, ei vain silloin, kun joku muistaa tarkistaa tilanteen.
Automaattinen skannaus ei tietenkään löydä kaikkea. Silti tarkistukset kannattaa mielestämme antaa robotin tehtäväksi sen sijaan, että luottaisimme pelkästään käsin tehtäviin tarkistuksiin ja ajoittaisiin tietoturva-auditointeihin.
Se on joka tapauksessa suunnitelma. Kerromme lisää projektin edetessä.
Haluaisitko samanlaisen ratkaisun omille ohjelmistoillesi? Voimme rakentaa sen myös sinulle. Ota yhteyttä.
Perustuu julkisesti saatavilla oleviin tietoturvatiedotteisiin ja teknisiin raportteihin 24. lokakuuta 2026 mennessä.