PHP Foundation објави безбедносни надградби за неколку поддржани верзии на PHP, со кои се отстрануваат две критични ранливости во самиот програмски јазик. Пропустите би можеле да погодат голем број веб-страници, бидејќи PHP се користи на проценети 70 проценти од интернетот.
Поправките се достапни во PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Веб-администраторите што користат некоја од овие гранки треба да ја инсталираат најновата верзија. За PHP 8.1 и постарите изданија нема да има официјални закрпи, што значи дека корисниците на овие верзии ќе треба да преминат на поддржано издание за да ги отстранат ризиците.
Ранливостите се заведени како CVE-2026-109618 и CVE-2026-109619, а за двете е доделена критична оценка од 9,2 од можни 10. Тие се поврзани со начинот на кој PHP управува со меморијата и ги обработува грешките при извршување на барања.
Првиот проблем може да се појави кога PHP ќе остане без распределена меморија додека обработува барање. Во таква состојба може да останат нецелосни внатрешни податоци, кои системот подоцна погрешно би можел да ги третира како валидни. Вториот пропуст настанува при фатална грешка, кога PHP може да задржи упатување кон веќе ослободена меморија.
Под одредени услови, овие слабости можат да се искористат од далечина и без кориснички пристап до серверот. Последиците би можеле да вклучуваат извршување злонамерен код и преземање контрола врз погодени веб-страници. При тестирањата било покажано и дека од меморијата на серверот можат да се извлечат чувствителни податоци, меѓу кои лозинки, токени за автентикација и API-клучеви.
Особено важно е што пропустите се наоѓаат во јадрото на PHP, па присуството на безбедносни проблеми не зависи од кодот на конкретната веб-апликација. Основниот проблем бил познат од 2024 година, но метод за практично искористување и целосна поправка не биле утврдени сè до неодамнешната истрага.
Објавувањето на закрпите првично било планирано за 22 октомври, но било поместено еден ден порано по предвремено откривање информации.