Jelszó nélkül támadható a PHP két kritikus hibája, már elkészültek a javítások

A beszámoló szerint a PHP Foundation szerdán tette nyilvánossá a hibákat megszüntető javításokat. Ezek telepítésére szólítják fel az érintett webhelyek üzemeltetőit, mert kutatók szerint továbbra is sok javítatlan rendszer maradt elérhető.

A PHP weboldalak és webalkalmazások készítésére használt programozási nyelv. Erre támaszkodik a WordPress, a Drupal, a Joomla és a MediaWiki is. Nemcsak internetes oldalakon, hanem belső vállalati hálózatokon működő alkalmazásokban is előfordul.

A forrás nem sorolja fel az érintett és javított PHP-verziókat, ezért pontos kiadásszámot nem lehet megadni belőle.

A CVE-2026-109618 esetében a memória elfogyásának kezelése hagyhat inicializálatlan állapotban kéréshez tartozó memóriát. Ezt a későbbi takarítási folyamat felhasználhatja. A CVE-2026-109619 más úton okozhat gondot: a program közös állapota már felszabadított memóriára hivatkozhat, amelyet következő kérések ismét elérhetnek.

Mindkettő távoli kódfuttatást tehet lehetővé: a támadó az interneten keresztül saját kódot hajthat végre az érintett rendszeren. A beszámoló szerint ehhez sem jelszó, sem egy hivatkozás megnyitása vagy fájl elindítása nem szükséges. A lehetséges következmények között adatlopás és kártevő telepítése is szerepel.

A CVSS a sebezhetőség műszaki súlyosságát jelzi, nem azt, hogy ténylegesen visszaélnek-e vele. Mindkét PHP-hiba kritikus besorolást kapott.

Az EPSS annak valószínűségét becsüli, hogy a következő 30 napban bárhol a világon kihasználási kísérletet észlelnek az adott hiba ellen. Nem egy konkrét szerver megtámadásának esélyét és nem a műszaki súlyosságot méri; naponta változik.

Az Amazon közlése szerint nagyjából egy héttel a javítások elérhetővé válása előtt észlelték a PHP2Shell kihasználását. A vállalat azt javasolja a védekezőknek, hogy már október 17-től keressék ennek nyomait. Arról nem tudott biztosat mondani, hogyan szereztek tudomást a támadók a sebezhetőségekről.

A Palo Alto Networks és a Trail of Bits péntek késő estére megerősített kompromittálásokról, illetve behatolás utáni rosszindulatú tevékenységről számolt be. A cikk ugyanakkor nem jelzett tömeges kihasználást.

A hibákat 2024-ben már megtalálták, de akkor nem tartották kihasználhatónak őket, ezért javítás sem készült hozzájuk. A Calif kutatói később működő kihasználási módszert dolgoztak ki, majd értesítették a PHP Foundation szervezetet.

A javítás előkészítése és az összehangolt közzététel során nagy internetes cégek és tárhelyszolgáltatók előzetesen hozzáférhettek a részletekhez. A Calif beszámolója szerint mesterséges intelligencia is segítette a munkát, de annak zöme a kutatók korábbi ismereteire épült.