U PHP-u su identifikovane dve kritične ranjivosti (CVE-2026-109618 i CVE-2026-109619), čijim iskorišćavanjem napadač može da izvrši proizvoljan kod na daljinu, bez prethodne autentifikacije.

Obe ranjivosti ocenjene su ocenom 9,2 prema CVSS v4.0 skali, a otklonjene su u verzijama PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12.

Preporuke Nacionalnog CERT-a su:

• Identifikovati sve sisteme i aplikacije koji koriste PHP, posebno one koji su dostupni putem interneta;
• Pratiti aktivnosti na sistemima koji koriste PHP radi otkrivanja eventualnih zlonamernih aktivnosti;
• Primeniti odgovarajuća bezbednosna ažuriranja za verzije PHP 8.2, 8.3, 8.4 i 8.5;
• Za PHP 8.1 i starije verzije, za koje je istekla podrška, preporučuje se prelazak na podržane verzije ili primena odgovarajućih bezbednosnih ažuriranja koja obezbeđuje proizvođač softvera;
• Proveriti dostupnost bezbednosnih ažuriranja za druge softverske proizvode koji koriste PHP;
• Ukoliko nije moguće blagovremeno primeniti bezbednosna ažuriranja, razmotriti privremene mere zaštite navedene u zvaničnom bezbednosnom obaveštenju PHP-a ili privremeno isključivanje pogođenih sistema do otklanjanja ranjivosti.

Više detalja:

https://www.php.net/archive/2026.php

https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php