PHP gefur út neyðaruppfærslur vegna tveggja alvarlegra galla

Öryggisteymi PHP mun gefa út öryggisuppfærslu utan hefðbundinnar áætlunar í dag, miðvikudaginn 21. október, kl. 14:00 UTC, til að laga tvær varnarleysur sem báðar fá 9,2 í einkunn samkvæmt CVSS v4.0, samkvæmt tilkynningu á php.net. Í tilkynningunni er PHP notendum ráðlagt að "búa sig undir að uppfæra um leið og útgáfan verður aðgengileg." Teymið sagðist gæti gefið út uppfærsluna fyrr ef upplýsingar verða opinberar eða ef árásir verða greindar. Viðvörunin kom í kjölfar þess að upplýsingum um gallana var lekið. PHP keyrir stóran hluta vefsvæða internetsins og kerfisstjórar búa sig nú undir uppfærslu þar sem tæknilegar upplýsingar liggja enn ekki fyrir.bleepingcomputer.com ## Leki og staðfesting Þann 20. október var færslu á Hacker News, sem síðan hefur verið eytt, haldið fram að tveir alvarlegir PHP gallar sem leyfa fjarkeyrslu kóða yrðu gerðir opinberir 22. október. Þar var þeim lýst sem CVE-2026-109618 og CVE-2026-109619 og báðir fengu CVSS einkunnina 10,0, að sögn BleepingComputer. Öryggisfyrirtækið watchTowr staðfesti síðan að gallarnir væru til staðar. "Við getum staðfest að þessar varnarleysur eru raunverulegar," sagði Benjamin Harris, forstjóri fyrirtækisins. Hann sagði að gallarnir virðist hafa áhrif á PHP 5, 6, 7 og 8. watchTowr telur sig hafa endurskapað CVE-2026-109618 og hefur ekki séð neinar árásir í gangi.bleepingcomputer.com PHP birti tilkynningu sína kl. 19:33 UTC þann 20. október, einum degi fyrir þá dagsetningu sem watchTowr hafði nefnt. Tilkynningin nefnir ekki CVE númerin og fullyrðingin um að allar útgáfur aftur til PHP 5 séu í hættu hefur ekki verið staðfest. Rannsakendur hafa gefið göllunum viðurnefnið "php2shell." Ars Technica benti á óstaðfesta skýrslu um að PHP2Shell árás gæti keyrt kóða í fjartengingu. Huntress sagði að stutt myndband af árásinni hafi verið birt á netinu en síðan fjarlægt, og að þeir viti ekki um neinn opinberan árásarkóða.huntress.com+2 ## Eldri útgáfur gætu verið án lagfæringa Lagfæringar munu aðeins ná til þeirra fjögurra útgáfa sem PHP styður enn, 8.2 til 8.5 (The Hacker News; PHP). Útgáfur 8.1, 8.0, 7.x og 5.x eru úreltar. Ef gallarnir hafa áhrif á þær munu þær uppsetningar ekki fá opinbera lagfæringu. Öryggisfyrirtækið Mallory taldi um 884.000 netþjóna sem sýna PHP 8.1 eða eldri, samkvæmt The Hacker News.thehackernews.com+1 ## Undirbúningur fyrir uppfærslu CERT-EU ráðlagði fyrirtækjum að búa sig undir að uppfæra strax. Þar sem það er ekki mögulegt var lagt til að einangra vefþjónustur frá almennum netum. Huntress hvatti kerfisstjóra til að skrá allar PHP uppsetningar, þar með talið þær sem fylgja með stjórnborðum eins og cPanel og Plesk, og uppfæra þær sem snúa að internetinu fyrst. Einnig var mælt með því að fylgjast með PHP ferlum sem ræsa skeljar eða hlaða niður verkfærum.cert.europa.eu+1 PHP hefur sagt að "allar upplýsingar, viðkomandi útgáfur og lagfærðar útgáfur verði birtar með útgáfunni". Fram að því er óljóst hvaða hluti PHP er í hættu og hvort árásir krefjast sérstakra stillinga.php.net