Krytyczne luki w PHP. Pilna aktualizacja może namieszać w sieci

Zespół bezpieczeństwa PHP nadał podatnościom oznaczenia CVE-2026–109618 i CVE-2026–109619. Obie dostały ocenę 9,2 w skali CVSS v4.0, a maksymalny wynik to 10 punktów. Według ujawnionych informacji błędy mogą pozwalać na zdalne wykonanie kodu na podatnym serwerze.

Pośpiech wynika z wcześniejszego wycieku szczegółów podatności. CERT-EU ostrzega, że atak może nie wymagać uwierzytelnienia. W ujawnionych materiałach pojawiła się też nazwa PHP2Shell, a firma watchTowr potwierdziła, że luki są realne i odtworzyła pierwszą z nich.

Wstępne doniesienia wskazują, że problem może sięgać wersji od 5.0, a Sansec zawęża ten zakres do wydań od 5.4.0. Projekt PHP wspiera jednak tylko wybrane, nowsze gałęzie. Dla starszych instalacji może to oznaczać migrację, łatkę od dostawcy albo ręczne przeniesienie poprawki.

Sansec ocenia, że fala masowych prób wykorzystania błędów może ruszyć już 15 minut po publikacji łatek. Administratorzy powinni teraz sprawdzić wszystkie instalacje PHP, także w panelach hostingowych i aplikacjach od zewnętrznych dostawców. Warto też przygotować kopie zapasowe, ustalić odpowiedzialność za aktualizację serwera i wdrożyć poprawki zaraz po ich udostępnieniu.

Huntress zaleca obserwowanie procesów PHP, w tym php-fpm, pod kątem nietypowego uruchamiania powłoki systemowej oraz narzędzi takich jak curl i wget. Sansec wskazuje także na czasowe ograniczenie śledzenia postępu wysyłania plików w PHP, ale podkreśla, że nie zastąpi to aktualizacji. Numery poprawionych wydań mają pojawić się razem z łatkami.