Két kritikus PHP-hiba részletei szivárogtak ki a javítás előtt

A PHP figyelmeztetése szerint mindkét sebezhetőség 9,2 pontot kapott a CVSS-skálán, amely 0-tól 10-ig a hiba műszaki súlyosságát méri; 9,0 felett kritikusnak számít. A hibák részletei a tervezett, összehangolt nyilvánosságra hozatal és a hivatalos javítócsomagok előtt szivárogtak ki az internetre.

A megadott kiadási időpont nem feltétlenül végleges. A PHP közlése szerint előrébb hozhatják a megjelenést, ha technikai részletek válnak nyilvánossá, vagy bizonyíték kerül elő a sebezhetőségekkel végrehajtott támadásokról. A felhívás ezért már most felkészülést kér, hogy az új kiadás elérhetővé válásakor rögtön lehessen frissíteni.

A javítás még nem érhető el, csak a várható időpontja ismert.

A nyilvános beszámolók szerint a hibák a CVE-2026-109618 és a CVE-2026-109619 azonosítót kapták, és távoli kódfuttatást tehetnek lehetővé. A CERT-EU a pontszámuk alapján azt állítja, hogy hitelesítés nélkül is kihasználhatók lehetnek.

Az eddig közölt információk alapján a PHP 5-től kezdve valamennyi verzió érintett lehet. Ez azonban még nem részletes, megerősített verziólista. A forrás nem nevezi meg a hibák pontos okát, az érintett összetevőt vagy a támadás menetét sem.

A WatchTowr úgy véli, sikerült reprodukálnia a CVE-2026-109618 jelű sebezhetőséget. A vállalat a javítások megjelenéséig visszatartja a további technikai információkat. Vezérigazgatója, Benjamin Harris ugyanakkor megerősítette, hogy valós hibákról van szó.

A WatchTowr és a Huntress a beszámoló szerint nem látott olyan támadást, amelyben bármelyik sebezhetőséget kihasználták volna. A kiszivárgás tehát nem azonos a már megfigyelt visszaéléssel, és a reprodukálásról szóló közlés sem ilyen észlelés.

A Sansec előrejelzése a javítás közzététele utáni időszakra vonatkozik: a cég szerint valószínű, hogy 15 percen belül megkezdődik a tömeges kihasználás. Ez becslés, nem egy már lezajlott esemény időadata.