PHP täpper till två kritiska sårbarheter efter att attacker inletts

PHP har släppt korrigeringar för två kritiska sårbarheter för fjärrkörning av kod efter uppgifter om attacker mot bristerna. PHP:s säkerhetsteam uppmanade användare att installera korrigeringarna så snart som möjligt.

Sårbarheterna, CVE-2026-109618 och CVE-2026-109619, fick allvarsgraden 9,2/10. Den ena gäller hantering av minnesbrist och den andra ett fel där frigjort minne används på nytt. Korrigeringarna ingår i PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35. PHP uppgav att Linuxdistributioner och leverantörer av långtidsstöd fick korrigeringarna i förväg och rådde användare att kontrollera om uppdaterade paket finns.

Enligt Reuters stängde myndighets-, vård- och utbildningswebbplatser i Europa tillfälligt efter att information om sårbarheterna läckt två dagar innan korrigeringarna släpptes. Cloudflares teknikchef Dane Knecht sade att företaget såg de första attackerna och uppdaterade sina motåtgärder.

PHP uppgav att installationer som hanterar webbförfrågningar är utsatta, däribland PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed. PHP bedömde risken som störst för mod_php och hänvisade till en demonstrerad exploit som kan utlösas av en obehörig begäran innan någon applikationskod körs.

PHP 8.1 och äldre versioner får inga korrigeringar genom den vanliga utgivningsprocessen. Projektet sade att det tillhandahöll begränsade bakåtporterade källkodskorrigeringar för PHP 7.4, PHP 8.0 och PHP 8.1 för dem som bygger från källkod eller saknar tillgång till en leverantör av långtidsstöd. PHP beskrev också motåtgärder, men varnade för att de inte är en fullständig lösning.