Bezbednosni timovi i administratori veb-sajtova dobili su upozorenje o dve kritične ranjivosti u PHP-u, široko korišćenom programskom jeziku koji stoji iza velikog broja veb-sajtova i onlajn usluga. Propusti su označeni kao CVE-2026-109618 i CVE-2026-109619, a PHP Foundation je objavila hitna bezbednosna ažuriranja.
Ranjivosti pogađaju PHP instalacije koje obrađuju veb-zahteve, počev od PHP 5, verzije objavljene 2004. godine. Ipak, zvanične zakrpe dobijaju samo podržana izdanja PHP 8.2 i novija. Za starije instalacije situacija je složenija, iako deo distribucija i spoljnih dobavljača i dalje nudi ispravke za zastarele verzije.
PHP Foundation je oba propusta ocenila sa 9,2 od 10 prema CVSS sistemu za ranjivosti. Prema dostupnim tehničkim informacijama, napadač bez prethodne autentifikacije može da izvrši kod na pogođenom serveru ili pročita osetljivu memoriju procesa. Ta memorija može da sadrži lozinke, tokene za autentifikaciju, API ključeve i sertifikate.
Posebno zabrinjava to što su propusti povezani sa mehanizmom za otpremanje datoteka. To potencijalno omogućava napadačima da šalju posebno pripremljene priložene sadržaje dostupnim serverima, a da pri tome ne moraju nužno da znaju koja veb-aplikacija radi na njima.
Cloudflare je već prijavio rane pokušaje napada pre objavljivanja punih detalja i zakrpa. Bezbednosne kompanije očekuju brzo širenje masovnih napada, upravo zbog rasprostranjenosti PHP-a u internet infrastrukturi. Na njega se oslanjaju platforme kao što su WordPress, Drupal i Adobe Magento, kao i veliki broj drugih sajtova i usluga.
Neke organizacije su privremeno isključile svoje stranice kao meru predostrožnosti. Među prijavljenim nedostupnim stranicama bile su usluge finske vlade, francuski vladini sajtovi i veb-sajt luke Roterdam.
Preporuka je da organizacije odmah identifikuju sisteme koji koriste PHP, sa prioritetom na serverima izloženim internetu. Zatim treba primeniti dostupna ažuriranja i pratiti obaveštenja dobavljača softvera. Ukoliko postoje znaci kompromitacije, sistem treba izolovati i sačuvati logove veb-servera i PHP-a.