Már támadják a PHP két kritikus hibáját, megérkeztek a javítások

A CVE-2026-109618 és a CVE-2026-109619 egyaránt 9,2-es CVSS-pontszámot kapott, ami kritikus műszaki súlyosságot jelez a 0-tól 10-ig terjedő skálán. A CISA október 26-án mindkettőt felvette a bizonyítottan kihasznált sérülékenységek listájára.

Az első hiba a memória elfogyásakor fellépő hibák kezeléséhez kapcsolódik. A másodiknál egy korábbi kéréshez tartozó memóriára mutathat olyan állapot, amelyet már vissza kellett volna állítani. Mindkettő lehetőséget adhat távoli kódfuttatásra. Az Apache és a mod_php együttes használatakor ezt meg is erősítették.

A sérülékenységekkel érzékeny memóriatartalom is kiolvasható lehet, amely hitelesítő adatokat és más titkokat tartalmazhat. A PHP Foundation szerint a hibák a memóriakezelést és a hibakezelést érintik, amelyekhez szinte minden kérés kapcsolódik.

A PHP karbantartói szerint minden webes kéréseket kezelő PHP-telepítés potenciálisan veszélyben van. Ide tartozhat a PHP-FPM, az Apache mod_php modullal, a php-cgi, a FrankenPHP és a LiteSpeed is. A hibák szinte minden PHP-kiadást érintenek az 5.4-es verzióig visszamenően.

A PHP tartalomkezelők és belső eszközök mögött is futhat. A Wiz a WordPress, a Drupal és a MediaWiki rendszerét is példaként említi. A Sophos szakértője szerint a nyilvános oldalakon túl tárhelyplatformok és más gyártók termékei alatt is működhet PHP, anélkül hogy ez a használó szervezet számára nyilvánvaló lenne.

Don Smith, a Sophos munkatársa ezért az internet felől elérhető rendszerek előresorolását és az érintett verziók ellenőrzését javasolja. A PHP-t futtató példányokat nem elég az ismert weboldalak között keresni: a szakértő szerint azonosítani kell, hol működik még a program.

A két hibát a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 kiadása javítja. A PHP 7.4, 8.0 és 8.1 változatához minimális forráskódos javításokat is közzétettek.

A PHP biztonsági csapata ugyanakkor figyelmeztetett: a PHP 8.1 és a régebbi ágak már nem kapnak frissítéseket a projekttől. A régi telepítések felmérése ezért különösen fontos, még akkor is, ha a két hibára ezekhez az ágakhoz is készült forráskódos javítás.

Ha egy sérülékeny rendszer nem javítható, a Sophos szakértője azt javasolja, hogy a biztonságossá tételéig válasszák le az internetről. A PHP Foundation szerint az egyes támadási útvonalak kitettségét csökkentő intézkedések önmagukban nem teszik biztonságossá a telepítést.

A Palo Alto Networks közlése szerint a támadók az internetnek kitett felügyeleti felületet célozzák. A vállalat értékelése alapján a PAN-OS egyes kiadásai érintettek; a probléma a webes felügyeleti felületre vonatkozik. A gyártó szerint a kiadott javítások mindkét PHP-hibát kezelik.

Az érintettséghez nem kell különleges beállítás, de a kockázat a gyártó szerint akkor a legnagyobb, ha a felügyeleti felület külső internetes IP-címekről is elérhető. A Palo Alto Networks a közleményében verziónként sorolja fel a megfelelő javított PAN-OS-kiadásokat.

A WatchTowr is észlelt kihasználási kísérleteket, de a beszámoló idején nem látott sikeres próbálkozást. A Cloudflare szintén támadásokról számolt be, a Hadrian pedig azt közölte, hogy a hibákat a gyakorlatban kihasználják.

A PHP Foundation eredetileg október 22-re tervezte a hibák nyilvánosságra hozatalát, de az információk október 20-án kiszivárogtak. Emiatt a javításokat egy nappal korábban tették közzé. A közzétételi ütemezés előtt tévedésből megjelent egy videó is, amely működő támadási példát mutatott be.

Az OpenAI közlése szerint a Calif kutatói a cég eszközeivel találták meg a hibákat. A PHP Foundation szerint a Calif, az OpenAI és a Wiz bejelentései tették világossá a memória elfogyásához kapcsolódó probléma teljes hatását. Az OpenAI azt is közölte, hogy részt vett a javítások tesztelésében és a válasz összehangolásában.