2026 m. spalio spragos: kas aktualu jūsų svetainei ir serveriui
Šį mėnesį išaiškėjo daug rimtų saugumo spragų. Čia – tik patikrinti faktai: kam jie aktualūs ir ką daryti.
Nacionalinis kibernetinio saugumo centras (NKSC) 2026-10-22 pranešė, kad apie 80 % Lietuvos svetainių veikia su PHP (NKSC, 2026-10-22), o jo vadovas minėjo apie 100 nustatytų pažeidžiamų Lietuvos svetainių (vz.lt, 2026-10-22). Žemiau – kas iš to svarbu mažai įmonei, aktualiausi punktai pirmi. NKSC siūlo ir nemokamą svetainių tikrintuvą: tikrink.nksc.lt.
Nesate tikri, ar tai liečia jus? Parašykite, atsakau per 1 darbo dieną. Jei svetainė jau elgiasi keistai – išvalau nuo 250 €.
Ar tai liečia mažą įmonę? Jei svetainė laikoma pas talpinimo tiekėją, PHP paprastai atnaujina jis, bet paklauskite raštu. Jei turite WordPress papildinių arba nuosavą ar nuomojamą serverį, dalį darbų turite padaryti patys arba kas nors už jus. GitLab aktualus tik savarankiškai jį talpinantiems.
PHP2Shell (PHP)
Kas nutiko. Dvi PHP klaidos, CVE-2026-109618 ir CVE-2026-109619, atskleistos 2026-10-21. Pataisytos versijos jau išleistos. Trečioji, CVE-2026-115560, paskelbta 2026-10-23 ir pasireiškia tik retoje konfigūracijoje. Informacija dar tikslinama, todėl sekite php.net.
Kam aktualu. Visiems, kurių svetainė veikia PHP pagrindu: WordPress, Laravel, Symfony ir individualiai kurtoms svetainėms. Daugiau – atskirame puslapyje.
Ką daryti. Paprašykite talpintojo ar kūrėjo atnaujinti PHP iki 8.5.12, 8.4.27, 8.3.36 arba 8.2.35 (ar naujesnės). 8.1 ir senesnėms oficialių pataisų nėra – reikia Linux platintojo (pvz., Debian, Ubuntu) paketo arba perėjimo prie palaikomos versijos. Dėl CVE-2026-115560 laikinas sprendimas – session.upload_progress.enabled=0 serverio nustatymuose. Nesate tikri, ar jūsų svetainė pataisyta? Paklauskite talpintojo raštu arba parašykite man – pasakysiu, ką matau viešai.
Kas nutiko. Pavogti UpdraftCentral prisijungimo raktai 2026-10-18–19 buvo panaudoti, kad į svetaines įdiegtų papildinius su užpakalinėmis durimis (slapta įsilaužėlių prieiga) ir sukurtų paskyras. Tai ne papildinio kodo klaida.
Kam aktualu. Svetainėms, prijungtoms prie UpdraftCentral. TeamUpdraft rekomenduoja patikrinti ir UpdraftPlus Premium naudotojams.
Ką daryti. Atnaujinkite UpdraftPlus iki 1.26.13 (nemokama) arba 2.26.13 (Premium) – tai panaikina raktus, bet nepašalina jau įdiegtų užpakalinių durų. Todėl peržiūrėkite papildinių sąrašą ir naudotojus, galinčius diegti papildinius. Radus ką nors įtartino, svetainę laikykite pažeista: atkurkite iš kopijos, padarytos iki spalio 17 d., ir pakeiskite slaptažodžius. Jei svetainė jau pažeista, galiu ją išvalyti ir užlopyti (nuo 250 €).
Kas nutiko. Nuo 2026-10-15 20:02 iki 2026-10-16 07:12 (UTC) iš gamintojo svetainės buvo platinamas pakeistas Rank Math PRO 3.0.123 paketas.
Kam aktualu. Tik tiems, kas naudoja mokamą Rank Math PRO. Nemokama Rank Math versija nepaveikta. Versijos numeris pats savaime neįrodo pažeidimo: tas pats numeris buvo prieš pakeitimą ir po jo.
Ką daryti. Atnaujinkite į PRO 3.0.124. Jei 3.0.123 buvo įdiegta nurodytu laiku, ištrinkite visą papildinio aplanką (išjungimo nepakanka), peržiūrėkite naudotojus bei suplanuotas užduotis ir pakeiskite slaptažodžius, kuriuos svetainė gali pasiekti. Jei svetainė jau pažeista, galiu ją išvalyti ir užlopyti (nuo 250 €).
Kas nutiko. CVE-2026-110264, kritinė klaida (didžiausias įvertinimas, 10 iš 10), pataisyta 2026-10-21. Iki 2026-10-22 apie išnaudojimą nepranešta.
Kam aktualu. Tik savarankiškai talpinamam GitLab. GitLab.com jau pataisytas.
Ką daryti. Atnaujinkite iki vienos iš versijų: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 arba 18.11.13. Senesnes versijas atnaujinkite bent iki 18.11.13. Kai kuriuose leidimuose vyksta duomenų bazės migracija, todėl, jei GitLab veikia viename serveryje, bus prastova. Kol neatnaujinta, leiskite jungtis tik per VPN arba iš patvirtintų IP adresų.
Kas nutiko. Penkios klaidos pataisytos 2026-10-14. Kiekvienai reikia tam tikrų įjungtų nuostatų, todėl daugelio serverių tai neliečia.
Kam aktualu. Tiems, kurių serveryje veikia NGINX su atitinkamomis nestandartinėmis nuostatomis. Kritiškumo vertinimai skiriasi: nginx.org visas penkias vertina kaip vidutines, o F5 trims atminties klaidoms skiria aukštesnį įvertinį. Iki 2026-10-15 apie išnaudojimą nepranešta.
Ką daryti. Atnaujinkite iki 1.30.6 (stable) arba 1.31.7 arba iki savo Linux tiekėjo paketo su šių CVE pataisomis. Senesnės šakos (pvz., 1.28) oficialių pataisų negauna.
Buvo ir dar du incidentai, liečiantys tik siaurą administratorių ratą: OVHcloud komandų eilutės įrankio (v0.11.0–v0.15.0, 2026-10-19) ir AOMEI Backupper 8.3.0+ atnaujinimų kanalo (paskelbta 2026-10-15). Jei naudojate vieną iš jų, parašykite.
Faktai ir triukšmas
Socialiniuose tinkluose plintantys sąrašai perdeda: kalba apie „visuotinį interneto išjungimą“. Kai kurios institucijos, tarp jų Registrų centras, atsargumo dėlei laikinai išjungė dalį paslaugų, bet internetas veikia. Dauguma incidentų tikri, tik ne visi vienodai pavojingi ir ne visi liečia jus.
Rimtumo vertinimai skiriasi pagal šaltinį (pvz., NGINX atveju). Aukštas įvertinimas nenusako, ar klaida liečia būtent jūsų konfigūraciją.
Versijos numeris serverio antraštėse yra užuomina, ne įrodymas: Linux tiekėjai pataisas dažnai perkelia į senesnes versijas nekeisdami numerio.
Informacija atnaujinta 2026-10-25 ir gali keistis. Prieš veikdami pasitikrinkite aukščiau nurodytus šaltinius.
Kuo galiu padėti
Patikra, valymas, užlopymas ir priežiūra
Nemokama išorinė patikra. Jūsų prašymu žiūriu tik tai, ką mato bet kuris lankytojas: serverio antraštes, sertifikatą ir svetainės kode matomas versijas. Be jūsų raštiško sutikimo nieko daugiau netikrinu. Tai užuomina, ne verdiktas.
Saugumo patikra – 190 €. Su jūsų raštišku sutikimu: WordPress patikros dėl šių incidentų, versijų peržiūra, prieigų ir slaptažodžių keitimas. Gaunate ataskaitą raštu. Užsakius užlopymą per 14 d., 190 € įskaitoma.