Két kritikus hibát javított a PHP, az Amazon már korábban támadási kísérletet észlelt

A CVE-2026-109618 és a CVE-2026-109619 egyaránt 9,2-es CVSS v4.0 besorolást kapott. Ez a műszaki súlyosságot jelzi, nem a támadás valószínűségét. A hibák magában a PHP futtatókörnyezetében vannak, ezért biztonságos alkalmazáskód mellett is veszélyeztethetik a webhelyet. A WordPress vagy a Drupal frissítése önmagában nem szünteti meg őket, ha a kiszolgálón sérülékeny PHP marad.

A fejlesztők minden webes kérést kezelő telepítést potenciálisan veszélyeztetettnek tartanak. Ide tartozik a PHP-FPM, az Apache mod_php modullal, a php-cgi, a FrankenPHP és a LiteSpeed. Az Apache mod_php modullal működő környezetében mindkét résnél igazolták a távoli kódfuttatást.

A nyilvános weboldalak mellett tartalomkezelők, tárhelyplatformok, belső eszközök és külső gyártók termékei is használhatják a futtatókörnyezetet. A Sophos figyelmeztetése szerint ez nem mindig nyilvánvaló az adott szervezet számára. Ezért a felmérésnek nemcsak az ismerten elavult példányokra, hanem minden PHP-telepítésre ki kell terjednie.

Elsőbbséget az internetről elérhető rendszerek javítása kapjon. A beágyazott összetevők miatt a készülékek és szolgáltatások gyártóinak közleményeit is követni érdemes. A magyar NKI külön riasztást adott ki a két kritikus sérülékenységről, majd a javítások megjelenése után a támadási kísérletekre és az átmeneti szolgáltatásleállásokra is felhívta a figyelmet.

A PHP projekt a 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziókban zárta be a réseket. A fejlesztők haladéktalan frissítést javasolnak. Az operációs rendszerhez, tárhelyhez vagy konténerképhez biztosított csomagnál azt is ellenőrizni kell, hogy megérkezett-e a szükséges korrekció.

A PHP 8.1 és a régebbi ágak már nem kapnak hivatalos kiadást a projekttől. Ezek használóinak a Cisco Talos legalább a 8.2 ágra váltást sürgeti. Egyes külső szállítók ugyanakkor régebbi változatokhoz is készítettek javított csomagokat: a cPanel és a Plesk például a PHP 7.4, 8.0 és 8.1 ágakhoz is adott ilyen összeállítást.

A CVE-2026-109618 esetében a memória elfogyása megszakíthatja a kérés feldolgozását, miközben annak belső adatai még nincsenek teljesen előkészítve. A későbbi takarítás során a PHP ezeket az érvénytelen adatokat használhatja fel.

A CVE-2026-109619 más úton okoz gondot: a belső állapot egy része már felszabadított memóriára mutathat. Egy következő kérés ezt az elavult állapotot olvashatja vagy használhatja. Mindkét helyzet elvezethet támadói kód futtatásához. A rések érzékeny folyamatmemória kiolvasását is lehetővé tehetik, benne jelszavakkal, API-kulcsokkal és más titkokkal. A PHP Foundation szerint a javítást az is nehezítette, hogy szinte minden kérés érinti a memóriakezelést és a hibakezelést.

Az Amazon az október 17-i próbálkozást a MadPot megfigyelőrendszerében azonosította. A kérés egy kereskedelmi anonimizáló hálózathoz kapcsolódó IP-címről érkezett. A vállalat szerint nem világos, hogyan jutott a küldő előzetes információhoz, és azt sem igazolták, hogy a korai próbálkozások valódi rendszereken sikerrel jártak volna.

A részletek kiszivárgása miatt a PHP Foundation október 22-ről október 21-re hozta előre a közzétételt. A Cloudflare, a Patchstack és más megfigyelők már a kiadás előtt észleltek támadási kísérleteket. A PHP Foundation hangsúlyozta: az egyes támadási útvonalakat korlátozó átmeneti intézkedések nem teszik biztonságossá a telepítést.