PHP corectează două vulnerabilități critice de execuție la distanță a codului

Responsabilii PHP au lansat actualizări de securitate pentru patru ramuri întreținute, după identificarea a două vulnerabilități critice care ar putea permite unui atacator neautentificat să execute cod de la distanță. Versiunile corectate sunt PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Problemele sunt importante deoarece pot fi exploatate prin instalări PHP expuse la cereri web, posibil înainte ca protecțiile sau codul aplicației să fie executate. Responsabilii recomandă tuturor utilizatorilor afectați să instaleze rapid actualizarea corespunzătoare.

Prima problemă, CVE-2026-109618, ține de gestionarea epuizării memoriei: PHP poate fi întrerupt când datele interne ale unei cereri sunt inițializate doar parțial, iar operațiunile ulterioare de curățare le pot trata incorect ca fiind valide. A doua, CVE-2026-109619, privește starea internă asociată unei cereri, care poate rămâne accesibilă după eliberarea memoriei aferente, astfel încât o cerere ulterioară procesată de același worker să folosească date rămase înainte de reinițializarea normală. Configurațiile menționate ca afectate includ PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed, iar articolul indică mod_php drept configurația cu cel mai mare risc, deoarece a fost demonstrat un exploit care se declanșează înainte de rularea codului aplicației.

Vulnerabilitățile evidențiază riscurile erorilor de gestionare a memoriei în procese PHP expuse web și cu durată lungă de funcționare, mai ales când workerii procesează mai multe cereri. Instalarea unei versiuni PHP corectate este prezentată drept modalitatea de a restabili securitatea; articolul nu oferă detalii suplimentare despre exploatarea activă sau despre alte măsuri de atenuare.