Критични ранливости во PHP овозможуваат далечинско извршување код, итно се бара ажурирање на серверите

Две критични безбедносни пропусти во PHP може да им овозможат на напаѓачите да извршуваат злонамерен код на ранливи сервери без претходна автентикација. Развивачите објавија итни безбедносни ажурирања, а европските институции повикаа на неодложна реакција.

Тимот задолжен за развој на програмскиот јазик PHP денес објави безбедносни ажурирања за две критични ранливости, означени како CVE-2026-109618 и CVE-2026-109619. Пропустите, оценети со 9,2 од максимални 10 поени според системот CVSS v4.0, претставуваат сериозен ризик за веб-страниците и апликациите што користат ранливи верзии на PHP.

Според безбедносните истражувачи, проблемите се однесуваат на основниот PHP-engine, што значи дека ризикот не е ограничен само на одредена веб-апликација или додаток. Една од ранливостите е поврзана со обработката на состојби при недостиг на меморија, додека другата се однесува на застарена глобална состојба што останува достапна по ослободувањето на меморијата. Во одредени околности, овие пропусти може да доведат до далечинско извршување код (RCE), без напаѓачот да мора да се најави на системот.

Безбедносната компанија Wiz предупредува дека потенцијалното влијание е широко поради распространетоста на PHP во веб-инфраструктурата. PHP се користи за изградба на динамични веб-страници, системи за управување со содржини и серверски апликации. Затоа, ранливи може да бидат и системи кај кои PHP работи како дел од поширока софтверска платформа.

PHP-тимот ги објави верзиите 8.5.12, 8.4.27, 8.3.36 и 8.2.35, со кои се отстрануваат двата критични пропусти. Администраторите се повикуваат веднаш да ги ажурираат системите. Според официјалното известување, не постои целосна алтернативна мерка што може да ја замени инсталацијата на безбедносните поправки.

Европската агенција за сајбер-безбедност ENISA, заедно со Европската комисија, CERT-EU, Европол и други европски безбедносни структури, исто така повикаа на итно дејствување. Организациите треба да ги идентификуваат сите системи што користат PHP, да соработуваат со своите хостинг-провајдери и да им дадат приоритет на серверите достапни преку Интернет. Доколку ажурирањето не е веднаш можно, се препорачува привремено изолирање на изложените апликации од јавните мрежи.

Препораката се однесува и на сопствениците на веб-страници, медиумските портали и компаниите што одржуваат сопствена серверска инфраструктура. Проверката на PHP верзијата и инсталирањето на најновите безбедносни поправки се клучни чекори за намалување на ризикот од компромитирање на системите и податоците.