Критични уязвимости поставиха сайтове по света в риск 

Две критични уязвимости в PHP поставиха под риск интернет сайтове, онлайн магазини и правителствени приложения по света. Разработчиците на езика публикуваха извънредни поправки, след като стана ясно, че слабостите могат да позволят дистанционно изпълнение на код без предварително удостоверяване на потребителя.

Проблемите са обозначени като CVE-2026-109618 и CVE-2026-109619 и са оценени с 9,2 от 10 по системата CVSS v4.0. Според екипа на PHP те засягат всички инсталации, които обслужват уеб заявки, включително PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Рискът е оценен като най-висок при системите с Apache и mod_php, където атака може да бъде задействана от неавтентифицирана заявка, преди да се изпълни кодът на конкретното приложение.

„С незабавен ефект всички организации, използващи PHP в своите системи, се съветват да се подготвят за актуализация, която отстранява две критични уязвимости“, заяви Агенцията за национална сигурност на САЩ. Оттам препоръчаха системите, които не могат да бъдат обновени веднага, да бъдат изключени от мрежата, докато рискът бъде отстранен.

Публикувани са четири основни поправки

Коригираните версии са PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Екипът на PHP посочва, че инсталирането на актуализацията е единственото сигурно решение. Временните настройки могат да ограничат някои от пътищата за атака, но не правят системите напълно безопасни.

Потребителите на PHP 8.1 и по-стари версии са изправени пред допълнителен проблем, тъй като тези издания вече не получават официални актуализации от проекта. За някои от тях отделни дистрибуции и доставчици с дългосрочна поддръжка могат да предоставят обратно пренесени поправки. PHP 8.2 ще получава корекции