PHP planerar patchar för två kritiska sårbarheter

PHP:s säkerhetsteam planerar att släppa akuta uppdateringar onsdagen den 21 oktober klockan 14:00 UTC (10:00 Eastern) för att åtgärda två sårbarheter. Teamet har gett varje sårbarhet betyget 9,2 enligt CVSS v4.0 och uppmanar administratörer att installera uppdateringarna så snart de finns tillgängliga.

Teamet har ännu inte berättat vilka PHP-versioner som berörs, hur sårbarheterna kan utnyttjas eller vilka versioner som kommer att innehålla rättningarna. Det säger att uppdateringarna kan släppas tidigare om detaljer blir offentliga eller om det kommer bevis på aktiv exploatering.

Säkerhetsforskarna på watchTowr sade till BleepingComputer att sårbarheterna, med beteckningarna CVE-2026-109618 och CVE-2026-109619, är sårbarheter för fjärrkörning av kod som tros påverka PHP-versionerna 5, 6, 7 och 8. watchTowr uppgav att de tror sig ha återskapat CVE-2026-109618, men håller inne tekniska detaljer tills patcharna finns tillgängliga. Forskarna sade att de inte hade sett någon exploatering i verkliga miljöer.

Uppgifterna skiljer sig från PHP:s officiella besked. watchTowr beskrev båda sårbarheterna som CVSS 10 och sade att offentliggörandet ursprungligen var planerat till torsdag klockan 11:00 ET. Ett numera borttaget inlägg på Hacker News hävdade också att sårbarheterna hade poängen 10,0 och skulle offentliggöras den 22 oktober. PHP:s team gav varje sårbarhet poängen 9,2 enligt CVSS v4.0 och planerade uppdateringarna till den 21 oktober. Teamet säger att det publicerar tekniska detaljer, berörda versioner och rättade versioner när uppdateringarna blir tillgängliga.