Безбедносните тимови и администраторите на веб-страници добија предупредување за две критични ранливости во PHP, широко користениот програмски јазик зад голем број веб-страници и онлајн услуги. Пропустите се означени како CVE-2026-109618 и CVE-2026-109619, а PHP Foundation објави итни безбедносни ажурирања.

Ранливостите ги погодуваат PHP инсталациите што обработуваат веб-барања, почнувајќи од PHP 5, верзија објавена во 2004 година. Сепак, официјални закрпи добиваат само поддржаните изданија PHP 8.2 и понови. За постарите инсталации ситуацијата е посложена, иако дел од дистрибуциите и надворешните добавувачи сè уште нудат поправки за наследените верзии.

PHP Foundation ги оцени двата пропуста со 9,2 од 10 според CVSS системот за ранливости. Според достапните технички информации, напаѓач без претходна најава може да изврши код на погоден сервер или да прочита чувствителна меморија од процесите. Таа меморија може да содржи лозинки, токени за автентикација, API клучеви и сертификати.

Особено загрижувачки е што пропустите се поврзани со механизам за прикачување датотеки. Тоа потенцијално им овозможува на напаѓачите да испраќаат специјално подготвени прикачени содржини кон достапни сервери, без притоа нужно да знаат која веб-апликација работи на нив.

Cloudflare веќе пријави рани обиди за напад пред објавувањето на целосните детали и закрпите. Безбедносните компании очекуваат брзо ширење на масовни напади, токму поради распространетоста на PHP во интернет-инфраструктурата. На него се потпираат платформи како WordPress, Drupal и Adobe Magento, како и голем број други сајтови и услуги.

Некои организации привремено ги исклучиле своите страници како мерка на претпазливост. Меѓу пријавените недостапни страници имало услуги на финската влада, француски владини сајтови и веб-страницата на пристаништето Ротердам.

Препораката е организациите веднаш да ги идентификуваат системите што користат PHP, со приоритет на серверите изложени на интернет. Потоа треба да се применат достапните ажурирања и да се следат известувањата од добавувачите на софтвер. Доколку има знаци на компромитација, системот треба да се изолира и да се зачуваат логовите од веб-серверот и PHP.