Actualizările open-source din octombrie 2026: vulnerabilități critice în PHP și GitLab, eMudhra, Run:ai, OPA, llm-d și Pi

Retrospectiva open-source din octombrie 2026 evidențiază probleme de securitate urgente, alături de actualizări ale unor proiecte. PHP a publicat remedieri de urgență pentru două vulnerabilități critice ale runtime-ului, care pot permite execuția de cod la distanță fără autentificare în anumite condiții, iar GitLab a corectat două erori critice de overflow întreg în compilatorul de expresii regulate pentru CI/CD. Vulnerabilitățile PHP și prima problemă GitLab au fost adăugate în catalogul Known Exploited Vulnerabilities al CISA, ceea ce face deosebit de importantă instalarea rapidă a patch-urilor. Retrospectiva descrie și un incident legat de autoritatea de certificare eMudhra și menționează evoluții open-source pozitive, inclusiv deschiderea platformei Run:ai de către NVIDIA și atingerea versiunii 1.0 de către llm-d.

Problemele PHP, CVE-2026-109618 și CVE-2026-109619, țin de coruperea memoriei în timpul gestionării situațiilor de memorie epuizată și de starea globală învechită care face referire la memoria unor cereri anterioare; exploatarea a fost demonstrată împotriva Apache mod_php, iar PHP-FPM este și el afectat. Versiunile PHP cu remedieri sunt 8.2.35, 8.3.36, 8.4.27 și 8.5.12, în timp ce o problemă separată, CVE-2026-115560, impune dezactivarea opțiunii session.upload_progress.enabled în configurațiile afectate până la apariția unei remedieri. GitLab CVE-2026-97229 și CVE-2026-110264 au primit scoruri CVSS de 10,0 și implică overflow întreg la compilarea expresiilor regulate; a doua afectează un interval larg de versiuni, posibil începând cu versiunea 7.0. În cazul eMudhra, cercetătorii au descoperit că opt autorități intermediare de certificare aveau chei criptografice slabe, care puteau fi reconstruite din informațiile certificatelor publice; certificatele au fost revocate, iar furnizorii de browsere au introdus protecții, în timp ce eMudhra a declarat că intermediarii nu emiseseră certificate finale.

Aceste incidente arată cum vulnerabilitățile din runtime-uri fundamentale, platforme de gestionare a codului și infrastructuri de certificare pot expune sisteme dincolo de o singură aplicație, inclusiv credențiale de implementare și conexiuni TLS considerate de încredere. Articolul recomandă actualizarea instalărilor PHP și GitLab autogestionate, examinarea regulilor de detecție publicate de GitLab și aplicarea măsurii de configurare PHP acolo unde este necesar. Textul disponibil se încheie în timpul secțiunii despre eMudhra, așadar nu oferă detaliile promise despre celelalte proiecte sau pașii următori pentru acestea.