У PHP-у су идентификоване две критичне рањивости (CVE-2026-109618 и CVE-2026-109619), чијим искоришћавањем нападач може да изврши произвољан код на даљину, без претходне аутентификације.

Обе рањивости оцењене су оценом 9,2 према CVSS v4.0 скали, а отклоњене су у верзијама PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12.

Препоруке Националног ЦЕРТ-а су:

• Идентификовати све системе и апликације који користе PHP, посебно оне који су доступни путем интернета;
• Пратити активности на системима који користе PHP ради откривања евентуалних злонамерних активности;
• Применити одговарајућа безбедносна ажурирања за верзије PHP 8.2, 8.3, 8.4 и 8.5;
• За PHP 8.1 и старије верзије, за које је истекла подршка, препоручује се прелазак на подржане верзије или примена одговарајућих безбедносних ажурирања која обезбеђује произвођач софтвера;
• Проверити доступност безбедносних ажурирања за друге софтверске производе који користе PHP;
• Уколико није могуће благовремено применити безбедносна ажурирања, размотрити привремене мере заштите наведене у званичном безбедносном обавештењу PHP-а или привремено искључивање погођених система до отклањања рањивости.

Више детаља:

https://www.php.net/archive/2026.php

https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php