PHP slipper ut hastelapper for to kritiske sårbarheter

PHPs sikkerhetsteam planlegger å publisere en sikkerhetsoppdatering utenom tur i dag, onsdag 21. oktober, kl. 14:00 UTC, for å fikse to sårbarheter som begge har en score på 9,2 i CVSS v4.0, ifølge et forhåndsvarsel på php.net. Varselet ber alle PHP-brukere om å forberede seg nå slik at de kan oppgradere så snart utgivelsen er tilgjengelig. Teamet opplyser at de kan slippe oppdateringen tidligere dersom detaljer blir offentlig kjent eller hvis angrep oppdages. Advarselen kom etter at informasjon om de hemmeligholdte feilene ble lekket. PHP driver en stor del av nettet, så administratorer forbereder seg nå på en oppdatering der de tekniske detaljene ennå er ukjente.bleepingcomputer.com

Lekkasje og bekreftelse

Den 20. oktober hevdet et innlegg på Hacker News, som siden er slettet, at to kritiske sårbarheter for fjernkjøring av kode i PHP ville bli avslørt 22. oktober. Innlegget listet dem som CVE-2026-109618 og CVE-2026-109619 og ga begge en CVSS-score på 10,0, rapporterte BleepingComputer. Sikkerhetsselskapet watchTowr bekreftet deretter at sårbarhetene eksisterer. Vi kan bekrefte at disse sårbarhetene faktisk er reelle, sa daglig leder Benjamin Harris til nettstedet. Han sa at feilene antas å påvirke PHP 5, 6, 7 og 8. watchTowr opplyste at de mener å ha reprodusert CVE-2026-109618 og har ikke sett noen utnyttelse i det fri.bleepingcomputer.com

PHP la ut varselet sitt kl. 19:33 UTC den 20. oktober, og satte utgivelsen én dag før embargo-datoen watchTowr hadde sitert. Varselet nevner ikke noen av CVE-ene, og påstanden om at alle versjoner tilbake til PHP 5 er berørt, er ikke bekreftet. Forskere har gitt paret kallenavnet php2shell. Ars Technica bemerket en ubekreftet rapport om at en PHP2Shell-utnyttelse kan kjøre kode eksternt. Huntress sa at en kort video av utnyttelsen kortvarig ble lagt ut på nettet og deretter fjernet, og at de ikke kjenner til noen offentlig tilgjengelig kode for utnyttelse.huntress.com+2

Eldre versjoner får kanskje ingen fiks

Fikser kan bare nå PHPs fire støttede grener, 8.2 til 8.5 (The Hacker News; PHP). Versjonene 8.1, 8.0, 7.x og 5.x er ved veis ende. Hvis sårbarhetene påvirker disse, vil installasjonene ikke få noen offisiell oppdatering. Sikkerhetsselskapet Mallory talte rundt 884 000 internetteksponerte verter som rapporterer PHP 8.1 eller eldre, ifølge The Hacker News.thehackernews.com+1

Forberedelser til oppdatering

CERT-EU rådet organisasjoner til å forberede seg på å oppdatere umiddelbart. Der det ikke er mulig, foreslo de å isolere internetteksponerte applikasjoner fra offentlige nettverk. Huntress oppfordret administratorer til å kartlegge hver PHP-installasjon, inkludert kopier som følger med utstyr og kontrollpaneler som cPanel og Plesk, og å oppdatere internetteksponerte systemer først. De anbefalte også å overvåke PHP-arbeidsprosesser som starter skall eller laster ned verktøy.cert.europa.eu+1

PHP har uttalt at fullstendige detaljer, berørte versjoner og de fiksede versjonene vil bli publisert sammen med utgivelsen. Inntil da er det uklart hvilken del av PHP som er berørt og om angrep krever en bestemt konfigurasjon.php.net