PHP łata dwie krytyczne luki ocenione na 9,2, które umożliwiają zdalne wykonanie kodu
Arkadiy Andrienko
PHP opublikowało aktualizacje zabezpieczeń 21 października 2026 roku po wykryciu dwóch luk CVE-2026, które dotyczą instalacji dostępnych z poziomu sieci i otrzymały ocenę 9,2 w systemie CVSS 4.0. Zespół PHP ds. bezpieczeństwa zaapelował do użytkowników o niezwłoczne zainstalowanie łatek. Luki oznaczono jako CVE-2026-109618 i CVE-2026-109619. Pierwsza dotyczy uszkodzenia danych podczas obsługi braku pamięci: przy czyszczeniu żądania PHP może uzyskać dostęp do nieprawidłowych danych, co potencjalnie pozwala atakującemu zdalnie wykonać kod.
CVE-2026-109619 wiąże się z nieaktualnym stanem globalnym, który może wskazywać na zwolnioną pamięć żądania. Kolejne żądanie może uzyskać dostęp do tej pamięci, zanim program w pełni zainicjuje swój stan, co również stwarza ryzyko zdalnego wykonania kodu. Zgodnie z komunikatem problem dotyczy konfiguracji obejmujących PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed.
Poprawione wersje to PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12. PHP 8.1 i starsze nie otrzymują już aktualizacji od projektu PHP, choć niektóre dystrybucje i dostawcy oferujący długoterminowe wsparcie mogą udostępniać poprawki przeniesione ze nowszych wersji. Luki zwróciły też uwagę w związku z doniesieniami o pierwszych atakach.
Dyrektor ds. technologii Cloudflare, Dane Knecht, poinformował, że firma aktualizuje tymczasowe zabezpieczenia wraz z pojawianiem się nowych wektorów ataku, ale ostrzegł, że nie zastępują one instalacji aktualizacji PHP.
Obserwujemy pierwsze ataki i aktualizujemy zabezpieczenia w miarę pojawiania się nowych wektorów. To tylko rozwiązanie tymczasowe.
Wobec doniesień o pierwszych atakach i tymczasowym charakterze zabezpieczeń na poziomie zapory, jak szybko właściciele witryn powinni zainstalować łatki PHP?