PHP zapowiada awaryjne poprawki dwóch krytycznych podatności umożliwiających zdalne wykonanie kodu
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- ASD's ACSC alerts ()
Zespół PHP zapowiedział awaryjne aktualizacje dla CVE-2026-109618 i CVE-2026-109619, które według CERT-EU mogą prowadzić do zdalnego wykonania kodu. Źródła różnią się co do terminu wydania i oceny CVSS, a informacje o podatnościach miały wyciec.
Zespół bezpieczeństwa PHP ostrzegł administratorów, że przygotowuje awaryjne aktualizacje usuwające dwie krytyczne podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.: CVE-2026-109618 i CVE-2026-109619. Według CERT-EUCERT-EU Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC. mogą one prowadzić do zdalnego wykonania kodu, a ich ocena CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. pozwala na uwierzytelnienie niewymagające wykonanie kodu bez logowania. CERT-EU i ACSC wskazują, że dotyczyć mogą wszystkich wersji PHP od PHP 5 wzwyż. Szczegóły techniczne nie zostały ujawnione. PHP działa w wielu serwisach, w tym w systemach zarządzania treścią, platformach e-commerce i usługach pisanych na zamówienie.
Źródła różnią się w kilku punktach. CERT-EU i BleepingComputer podają, że wydanie poprawek zaplanowano na 21 października 2026 r. o 14:00 UTC, natomiast ACSC pisze o publicznym ujawnieniu 22 października 2026 r. Zespół PHP ocenił każdą z podatności na 9.2 w skali CVSS v4.0. Badacze z watchTowr oraz usunięty wpis na forum Hacker News mówili o 10.0 i o czwartkowym terminie ujawnienia. BleepingComputer dodaje, że zespół PHP zastrzegł sobie prawo do wcześniejszego wydania, jeśli szczegóły wyciekną albo pojawią się dowody wykorzystania podatności.
Jeśli Twój podmiot używa aplikacji w PHP, CERT-EU zaleca ustalić, które to aplikacje, i przygotować się do natychmiastowego łatania, gdy tylko pojawią się wersje z poprawkami. Gdy szybkie łatanie nie jest możliwe, CERT-EU radzi rozważyć odizolowanie aplikacji wystawionych do internetu od sieci publicznych do czasu naprawy. ACSC zaleca dodatkowo monitorowanie aplikacji PHP i ich środowisk pod kątem złośliwej aktywności. ACSC ani watchTowr nie obserwują na razie wykorzystywania tych podatności w atakach. Zespół PHP zapowiada, że pełne szczegóły techniczne, listę dotkniętych wersji i wydania z poprawkami opublikuje razem z aktualizacjami.
Źródła
- ASD’s ACSC alerts: Critical vulnerabilities in PHP
- CERT-EU: 2026-018: Critical Vulnerabilities in PHP
- BleepingComputer: PHP warns admins of two critical flaws, emergency patches coming tomorrow
Pojęcia w tym tekście (3)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- CERT-EU
- Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC.
- CVSS
- Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.