PHP Foundation je objavio bezbednosne nadogradnje za nekoliko podržanih verzija PHP-a, kojima se uklanjaju dve kritične ranjivosti u samom programskom jeziku. Propusti bi mogli da pogode veliki broj veb-sajtova, jer se PHP koristi na procenjenih 70 odsto interneta.
Ispravke su dostupne u PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Veb-administratori koji koriste neku od ovih grana trebalo bi da instaliraju najnoviju verziju. Za PHP 8.1 i starija izdanja neće biti zvaničnih zakrpa, što znači da će korisnici ovih verzija morati da pređu na podržano izdanje kako bi uklonili rizike.
Ranjivosti su zavedene kao CVE-2026-109618 i CVE-2026-109619, a za obe je dodeljena kritična ocena od 9,2 od mogućih 10. Povezane su sa načinom na koji PHP upravlja memorijom i obrađuje greške tokom izvršavanja zahteva.
Prvi problem može da se pojavi kada PHP ostane bez dodeljene memorije tokom obrade zahteva. U takvom stanju mogu da ostanu nepotpuni interni podaci, koje bi sistem kasnije pogrešno mogao da tretira kao važeće. Drugi propust nastaje pri fatalnoj grešci, kada PHP može da zadrži referencu na već oslobođenu memoriju.
Pod određenim uslovima, ove slabosti mogu da se iskoriste daljinski i bez korisničkog pristupa serveru. Posledice bi mogle da uključuju izvršavanje zlonamernog koda i preuzimanje kontrole nad pogođenim veb-sajtovima. Tokom testiranja je pokazano i da se iz memorije servera mogu izvući osetljivi podaci, među kojima su lozinke, tokeni za autentikaciju i API-ključevi.
Posebno je važno što se propusti nalaze u jezgru PHP-a, pa prisustvo bezbednosnih problema ne zavisi od koda konkretne veb-aplikacije. Osnovni problem bio je poznat od 2024. godine, ali metod za praktično iskorišćavanje i potpuna ispravka nisu utvrđeni sve do nedavne istrage.
Objavljivanje zakrpa prvobitno je bilo planirano za 22. oktobar, ali je pomereno jedan dan ranije nakon prevremenog otkrivanja informacija.