Kritiskas PHP ievainojamības 2026. gadā: kāpēc uzņēmumiem nekavējoties jāpārbauda savu IT sistēmu drošība?

2026. gada 21. oktobrī publiskotās kritiskās PHP ievainojamības izraisīja plašus preventīvus drošības pasākumus Latvijā un citviet pasaulē. Tika ierobežota vairāku valsts digitālo pakalpojumu pieejamība, savukārt kiberdrošības eksperti aicināja uzņēmumus nekavējoties veikt programmatūras atjauninājumus. Notikušais vēlreiz apliecina, ka IT sistēmu drošība, regulāra programmatūras atjaunināšana un datu aizsardzība ir būtiska ikviena uzņēmuma darbības nepārtrauktības sastāvdaļa.

PHP ir viena no pasaulē plaši izmantotajām servera puses programmēšanas valodām. Tā nodrošina ne tikai mājaslapu un interneta veikalu darbību, bet arī daudzas uzņēmumu iekšējās sistēmas, klientu portālus, CRM, ERP un citus biznesa risinājumus.

2026. gada 21. oktobrī PHP izstrādātāji publicēja ārkārtas drošības atjauninājumus, lai novērstu divas kritiskas ievainojamības:

• CVE-2026-109618
• CVE-2026-109619

Abu ievainojamību bīstamība CVSS v4.0 skalā novērtēta ar 9,2 punktiem no 10, kas norāda uz īpaši augstu drošības risku.

Šīs ievainojamības noteiktos apstākļos var ļaut uzbrucējiem attālināti izpildīt ļaunprātīgu kodu serverī bez lietotāja autentifikācijas.

Tas nozīmē, ka apdraudējums var skart ne tikai publiski pieejamas tīmekļvietnes, bet arī ar tām saistītās informācijas sistēmas, datubāzes un uzņēmuma biznesa procesus.

Ievainojamības attiecas uz PHP instalācijām, kas apstrādā tīmekļa pieprasījumus, tostarp PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed vidēm.

Svarīgi saprast, ka PHP izmantošana pati par sevi nenozīmē, ka sistēma jau ir uzlauzta. Tomēr ievainojamas programmatūras izmantošana rada nopietnu risku, ja nepieciešamie drošības labojumi netiek ieviesti savlaicīgi.

Reaģējot uz starptautiskajiem kiberdrošības brīdinājumiem, Latvijā 21. oktobrī tika pieņemts lēmums uz laiku ierobežot piekļuvi vairākiem valsts digitālajiem resursiem no ārvalstīm. Par to informēja Latvijas kiberdrošības incidentu novēršanas institūcija CERT.LV.

Šie ierobežojumi tika ieviesti preventīvi, lai mazinātu iespējamu kiberuzbrukumu risku un dotu sistēmu uzturētājiem iespēju droši ieviest nepieciešamos atjauninājumus.

Saskaņā ar CERT.LV publicēto informāciju piekļuves ierobežojumi atkarībā no atjauninājumu ieviešanas gaitas varētu saglabāties līdz 26. oktobrim.

CERT.LV 2026. gada 21. oktobra plkst. 23.00 atjauninājumā norādīja, ka Latvijā jau konstatēti automatizēti mēģinājumi izmantot PHP ievainojamības, taču līdz tam nebija ziņu par sekmīgiem uzbrukumiem.

Šī situācija spilgti parāda preventīvas kiberdrošības nozīmi. Ja drošības risks ir zināms, to nepieciešams novērst pirms incidenta, nevis pēc tam, kad uzņēmums jau ir saskāries ar datu zudumu vai darbības pārtraukumu.

Situācija neaprobežojās ar Latviju. 2026. gada 21. oktobrī Nīderlandes valdība informēja par vairāku valsts digitālo pakalpojumu preventīvu apturēšanu. Starp tiem bija Overheid.nl, MijnOverheid.nl un DigiD.

Savukārt Eiropas Patentu iestāde (EPO) uz laiku apturēja savas tīmekļvietnes un vairāku tiešsaistes portālu darbību. Pēc nepieciešamo drošības labojumu ieviešanas pakalpojumu pieejamība tika pakāpeniski atjaunota.

Ar kopīgu brīdinājumu nāca klajā arī Eiropas Komisija, Eiropas Savienības Kiberdrošības aģentūra ENISA, CERT-EU, Eiropols un ES dalībvalstu kiberdrošības incidentu reaģēšanas dienesti.

Organizācijas tika aicinātas nekavējoties identificēt PHP vidē darbojošās sistēmas, prioritāri pārbaudīt internetā pieejamās sistēmas un ieviest publicētos drošības atjauninājumus.

Šie piemēri parāda, cik lielā mērā digitālo pakalpojumu pieejamība ir atkarīga no programmatūras drošības un savlaicīgas sistēmu uzturēšanas.

Daudzos uzņēmumos IT sistēmas ir cieši saistītas ar ikdienas darbu. Tajās tiek apstrādāti klientu dati, pasūtījumi, rēķini, finanšu informācija un dokumenti, kā arī pārvaldīti uzņēmuma iekšējie procesi. Uzņēmums var izmantot PHP tehnoloģiju, pat to neapzinoties.

Tā var būt daļa no:

• uzņēmuma mājaslapas vai interneta veikala;
• CRM un ERP sistēmas;
• klientu vai sadarbības partneru portāla;
• noliktavas un pasūtījumu pārvaldības sistēmas;
• iekšējās administrācijas platformas;
• rezervāciju, maksājumu vai dokumentu aprites risinājuma.

Ja šādas sistēmas netiek regulāri uzturētas un atjauninātas, to ievainojamības var kļūt par ieejas punktu kiberuzbrukumiem.

Konfidenciālas informācijas noplūde

Neatļautas piekļuves gadījumā var tikt apdraudēti klientu personas dati, kontaktinformācija, darījumu vēsture, finanšu dokumenti vai uzņēmuma komercnoslēpumi.

Uzņēmuma darbības pārtraukumi

Ja kiberuzbrukuma rezultātā sistēma kļūst nepieejama, uzņēmums var zaudēt iespēju pieņemt pasūtījumus, apstrādāt maksājumus vai nodrošināt klientu apkalpošanu.

Finansiāli zaudējumi

Incidenta seku novēršana, sistēmu atjaunošana, datu atgūšana un dīkstāve var radīt ievērojamas izmaksas. Dažos gadījumos zaudējumi var būt daudz lielāki par savlaicīgas sistēmu uzturēšanas izmaksām.

Reputācijas un klientu uzticības zudums

Klienti sagaida, ka viņu dati tiks pienācīgi aizsargāti. Drošības incidents var būtiski ietekmēt uzticēšanos uzņēmumam un tā pakalpojumiem.

Juridiski un datu aizsardzības riski

Personas datu aizsardzības pārkāpuma gadījumā atkarībā no tā radītā riska var būt pienākums paziņot uzraudzības iestādei un noteiktos gadījumos arī skartajām personām. Par datu aizsardzības prasību neievērošanu var piemērot sankcijas.

Viens no spilgtākajiem 2026. gada kiberdrošības incidentiem Latvijā bija kiberuzbrukums AS “Latvijas valsts meži” (LVM) informācijas tehnoloģiju infrastruktūrai.

2026. gada 22. jūnijā uzņēmums konstatēja kiberincidentu, kura rezultātā drošības apsvērumu dēļ tika atslēgtas vairākas ārējās un iekšējās informācijas sistēmas.

Tika ierobežota LVM GEO, karšu pakalpojumu sistēmas un medību lietotnes Mednis darbība. Tāpat nebija pieejamas vairākas sistēmas, kas nodrošināja informācijas apmaiņu ar klientiem un sadarbības partneriem.

Uzņēmums informēja arī par iespējamu neatļautu piekļuvi klientu, sadarbības partneru un citu personu datiem. Vēlāk publiski izskanēja informācija, ka uzbrucēji ieguvuši un nopludinājuši aptuveni 44 GB datu.

Īpaši būtisks ir incidenta tehniskais cēlonis. Publiski sniegtā informācija liecina, ka uzbrucēji izmantoja jau iepriekš zināmu ievainojamību sistēmā, kuras drošības atjauninājums nebija ieviests aptuveni divus gadus.

Incidenta analīzē tika atklātas arī problēmas drošības informācijas interpretācijā un sistēmu ievainojamību pārvaldībā. Uzņēmumam nācās pielāgot ikdienas darbu. Piemēram, koksnes piegāžu procesā uz laiku tika izmantotas papīra pavadzīmes.

Šis gadījums parāda, ka viena laikus nenovērsta ievainojamība var ietekmēt daudz plašākus uzņēmuma procesus.

Svarīgākā mācība: nepietiek tikai saņemt brīdinājumu par ievainojamību. Ir jāpārliecinās, ka konkrētā sistēma ir pārbaudīta, risks pareizi novērtēts un nepieciešamais drošības atjauninājums faktiski ieviests.

LVM incidents nav saistīts ar 2026. gada oktobrī atklātajām PHP ievainojamībām, taču tas uzskatāmi demonstrē neatjauninātas programmatūras iespējamo ietekmi uz datu drošību un uzņēmuma darbību.

Eiropas Savienības Kiberdrošības aģentūras ENISA 2026. gada septembrī publicētais pārskats apliecina, ka digitālās infrastruktūras apdraudējumi turpina attīstīties.

Saskaņā ar ENISA datiem 2025. gadā tika publicētas vairāk nekā 48 000 jaunas programmatūras ievainojamības (CVE). Tas ir par 22% vairāk nekā iepriekšējā gadā.

ENISA arī norāda, ka izspiedējprogrammatūra (ransomware) joprojām ir viens no kiberdraudiem ar vislielāko īstermiņa ietekmi uz organizācijām. Savukārt valsts pārvalde joprojām ir viena no visbiežāk uzbrukumiem pakļautajām nozarēm.

Tomēr riski neaprobežojas tikai ar valsts sektoru. Tie attiecas arī uz ražošanu, tirdzniecību, finanšu pakalpojumiem, loģistiku un citām uzņēmējdarbības jomām.

Pieaugot biznesa procesu digitalizācijai, palielinās arī uzņēmumu atkarība no IT sistēmu stabilitātes. Tāpēc kiberdrošība vairs nav tikai IT nodaļas jautājums. Tā ir uzņēmuma risku pārvaldības un darbības nepārtrauktības sastāvdaļa.

Programmatūras atjauninājumi nav tikai jaunu funkciju ieviešana vai veiktspējas uzlabošana. Tie bieži ietver būtiskus drošības labojumus. Saistībā ar 2026. gada oktobrī atklātajām PHP ievainojamībām izstrādātāji publicēja šādas labotās versijas:

Īpaša uzmanība jāpievērš novecojušām un vairs neatbalstītām PHP versijām. Ja uzņēmuma sistēma nav savietojama ar jaunākām PHP versijām, nepieciešams izstrādāt drošu un kontrolētu migrācijas plānu.

Ne visas ievainojamības ir redzamas lietotājiem. Sistēma var darboties nevainojami, vienlaikus izmantojot novecojušus komponentus, nedrošas integrācijas vai nepareizi konfigurētu servera vidi. Regulāras drošības pārbaudes palīdz identificēt šos riskus pirms to izmantošanas kiberuzbrukumā.

Svarīgajiem uzņēmuma datiem jābūt regulāri dublētiem, droši glabātiem un nepieciešamības gadījumā atjaunojamiem. Nepietiek tikai ar automātisku rezerves kopiju izveidi. Ir jāpārbauda arī datu atjaunošanas iespējas.

Darbiniekiem un sadarbības partneriem jābūt pieejamai tikai tai informācijai, kas nepieciešama viņu darba pienākumu izpildei. Daudzfaktoru autentifikācija, lietotāju tiesību pārvaldība un regulāra piekļuves pārskatīšana palīdz mazināt nesankcionētas piekļuves risku.

IT drošība nav vienreizējs projekts. Tehnoloģijas attīstās, tiek atklātas jaunas ievainojamības, mainās programmatūras versijas un uzņēmuma vajadzības. Tāpēc ir būtiski nodrošināt regulāru sistēmu uzraudzību, savlaicīgu atjaunināšanu un profesionālu tehnisko atbalstu.

Ņemot vērā 2026. gada oktobrī atklātās PHP ievainojamības, uzņēmumiem ieteicams nekavējoties:

1. Noskaidrot, kurās sistēmās un serveros tiek izmantots PHP.
2. Pārbaudīt pašreizējās PHP versijas un to atbalsta statusu.
3. Identificēt publiski pieejamās un biznesam kritiskās sistēmas.
4. Sagatavot rezerves kopijas un drošu atjaunināšanas plānu.
5. Ieviest atbilstošos drošības labojumus un pārbaudīt sistēmu darbību.
6. Izvērtēt serveru žurnālus un iespējamās aizdomīgās darbības.
7. Noteikt atbildīgos par turpmāku sistēmu uzturēšanu un drošības uzraudzību.

Ja atjauninājumus nav iespējams ieviest nekavējoties, jāizvērtē piekļuves ierobežošana ievainojamajām sistēmām, ievērojot CERT.LV un PHP izstrādātāju norādījumus.

Vienlaikus atjauninājumu ieviešana jāveic kontrolēti, pārbaudot sistēmu savietojamību, datu integritāti un darbību pēc izmaiņu veikšanas.

Svarīgi: pagaidu aizsardzības pasākumi neaizstāj nepieciešamos drošības atjauninājumus.

Uzņēmumam nav jāgaida drošības incidents, lai sāktu rūpēties par savas IT infrastruktūras aizsardzību.

HITEXIS komanda ir gatava palīdzēt uzņēmumiem reaģēt uz aktuālajām PHP ievainojamībām un nodrošināt IT sistēmu drošību ilgtermiņā.

Mēs piedāvājam:

• PHP versiju un sistēmas komponentu izvērtēšanu;
• drošības ievainojamību identificēšanu un novēršanu;
• PHP un citu programmatūras komponentu atjaunināšanu;
• esošo biznesa sistēmu modernizāciju;
• IT sistēmu tehnisko uzturēšanu un uzraudzību;
• konsultācijas par uzņēmuma datu un IT infrastruktūras aizsardzību.

Mūsu mērķis ir ne tikai novērst konkrētu tehnisku problēmu, bet arī palīdzēt uzņēmumiem veidot stabilu, uzticamu un drošu digitālo vidi.

Drošība nav vienreizējs uzdevums. Tā ir nepārtraukta atbildība par uzņēmuma datiem, sistēmām un biznesa procesiem.

2026. gada oktobra PHP ievainojamības ir vēl viens atgādinājums, ka pat plaši izmantotas un ilgstoši uzticamas tehnoloģijas var saskarties ar nopietniem drošības riskiem. Latvijas valsts mežu kiberincidents savukārt parāda, kādas sekas var radīt laikus nenovērsta ievainojamība.

Ne vienmēr iespējams paredzēt, kad tiks atklāts nākamais drošības risks. Taču ir iespējams tam sagatavoties, nodrošinot profesionālu sistēmu uzturēšanu, regulārus atjauninājumus, drošības pārbaudes un savlaicīgu risku novēršanu.

Uzņēmuma dati ir vērtība. To aizsardzība ir ieguldījums uzņēmuma stabilitātē, reputācijā un nākotnē.

Vai esat pārliecināti, ka jūsu uzņēmuma IT sistēmas ir atjauninātas un drošas?

Sazinieties ar HITEXIS komandu! Palīdzēsim izvērtēt riskus, ieviest nepieciešamos drošības atjauninājumus un nodrošināt jūsu IT sistēmu uzturēšanu.

• CERT.LV: Kritiskas ievainojamības PHP programmatūrā, 21.10.2026.
• CERT.LV: Preventīvie pasākumi saistībā ar PHP ievainojamībām
• PHP oficiālie drošības atjauninājumi
• ENISA: Joint statement on critical PHP vulnerabilities
• Nīderlandes valdības paziņojums
• Eiropas Patentu iestādes paziņojums
• Latvijas valsts meži: paziņojums par incidentu
• CERT.LV: Latvijas valsts mežu incidents
• LSM: LVM ievainojamības analīze
• ENISA Threat Landscape 2026
• LVM: paziņojums klientiem par personas datu aizsardzības pārkāpumu
• LVM: koksnes piegāžu atjaunošana pilnā apjomā
• Eiropas Datu aizsardzības kolēģija: personas datu aizsardzības pārkāpumi