Két kritikus PHP-hibát is kihasználnak, megérkeztek a javítások

Mindkét hibát javítja a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35. A PHP 7.4, 8.0 és 8.1 ágához minimális forráskódos javítások is megjelentek. A két sérülékenység csaknem minden PHP-kiadást érint az 5.4-es verzióig visszamenőleg.

A PHP karbantartói szerint minden webes kéréseket kezelő telepítés potenciálisan veszélyben van. Ide tartozik a PHP-FPM, az Apache mod_php használatával, a php-cgi, a FrankenPHP és a LiteSpeed is.

Ahol a frissítés nem lehetséges, a PHP Foundation szerint a kockázatcsökkentő intézkedések egyes támadási utakat szűkítenek, de nem teszik biztonságossá a telepítést.

A SimSpace szakértője szerint tudni kell, hol fut PHP, ki engedélyezheti a sürgős módosításokat, és hogyan igazolják, hogy a frissítés működött. Azt is ellenőrizni kell, elérték-e a támadók a rendszereket a javítás előtt.

A WatchTowr a javítások megjelenése körül észlelte az első, érzékelőit elérő kihasználási kísérleteket. A cég akkor sikeres próbálkozásról nem számolt be. A Hadrian néhány órával a javítások előtt már nagy léptékű kihasználásról írt; a megfigyelt támadások többsége a PHP munkameneteinek feltöltési folyamatjelzését használta ki.

A Patchstack és a Cloudflare is észlelt próbálkozásokat, a Vega pedig nyilvános támadókódra épülő kísérletekről számolt be. Az Amazon a javítások kiadása előtt négy nappal is látott ilyen aktivitást.

A CISA október 26-án mindkét sérülékenységet felvette a ténylegesen kihasznált hibákat tartalmazó KEV-listájára. A két azonosító a CVE-2026-109618 és a CVE-2026-109619.

Mindkét hiba kritikus, 9,2-es CVSS-besorolást kapott. A CVSS a sérülékenység műszaki súlyosságát méri egy 0-tól 10-ig terjedő skálán. A távoli kódfuttatást mindkét esetben megerősítették Apache és mod_php használatával.

A PHP Foundation szerint a gondok a memóriakezelést és a hibakezelést érintik, amelyeket szinte minden kérés használ. A hibákkal a folyamat érzékeny memóriaterülete is kiolvasható lehet; ott hitelesítő adatok, API-kulcsok és más titkok is szerepelhetnek.

A Wiz szerint a sérülékenységek magában a PHP-ban találhatók, ezért a tartalomkezelőtől függetlenül érinthetik az oldalakat. A cég a PHP-t használó szoftverek között említi a WordPress, a Drupal és a MediaWiki nevét is.

A Wiz, az OpenAI és a Calif augusztusban fedezte fel a sérülékenységeket. A PHP Foundation eredetileg október 22-re tervezte az összehangolt nyilvánosságra hozatalt, de az információk október 20-án kiszivárogtak, ezért a javításokat egy nappal korábbra hozta.

Egy működő támadókódot bemutató videó is idő előtt jelent meg. A PHP Foundation szerint az ebben látható részletek hozzájárultak ahhoz, hogy több támadókód gyorsabban elkészüljön.

A Cisco külön is megvizsgálta termékeit. Az érintettek között szerepel az Expressway Series és az Expressway Select Series; mindkettőhöz a 15.5.21-es javított kiadást jelöli meg. A Duo Access Gateway esetében a 3.2.0 a javított változat. Az Ultra-Reliable Wireless Backhaul (URWB) és a Unified Industrial Wireless Software javított kiadása a 26.2.1.9, amelyet a Cisco 2026 novemberére jelölt meg. A Cisco szerint az ISE Portal Builder javítását már telepítették, ott az ügyfeleknek nincs teendőjük.