Két kritikus PHP-sebezhetőség miatt érkeznek rendkívüli javítások
A PHP karbantartói két rendkívül súlyos biztonsági rés javítására készülnek: mindkét sérülékenység 9,2-es értékelést kapott a tízes skálán. A fejlesztők előre jelezték, hogy a javításokat eredetileg kevesebb mint 12 órán belül közzéteszik, és arra kérték a rendszergazdákat, hogy már most készüljenek fel a frissítésre. A csomagokat akár korábban is kiadhatják, ha a hibák részletei nyilvánosságra kerülnek, vagy aktív támadás jeleit észlelik.
A riasztást egy egyelőre nem megerősített jelentés váltotta ki, amely szerint a PHP2Shell nevű eszköz távoli kódfuttatást tesz lehetővé PHP-t használó webszervereken. A videón bemutatott támadás többek között WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel, Drupal 11.4.10 és WHMCS 9.0.9 környezetében futott. A watchTowr szerint a probléma a 2004-ben megjelent PHP 5-től kezdve minden verziót érinthet, és valósnak találta a CVE-2026-109618, illetve CVE-2026-109619 azonosítójú hibákat.
A Sansec kutatói arra számítanak, hogy a javítás megjelenése után akár 15 percen belül tömeges támadások indulhatnak. Becslések szerint körülbelül 1,3 millió internethez kapcsolódó gazdagép lehet érintett. A szervezeteknek ezért fel kell mérniük, mely alkalmazásaik használnak PHP-t, ki felel a frissítésért, biztonsági mentést kell készíteniük, és 14:00 UTC-re karbantartási időablakot érdemes tervezniük. A nem létfontosságú rendszerek ideiglenes leválasztását is javasolták, amíg a javítások telepíthetővé nem válnak.