A PHP fejlesztői rendkívüli biztonsági frissítéseket adtak ki két kritikus sérülékenység miatt, amelyek lehetővé tehetik, hogy egy támadó hitelesítés nélkül, távolról tetszőleges kódot hajtson végre az érintett webszervereken. A javítások a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verzióiban érhetők el.
A CVE-2026-109618 és CVE-2026-109619 azonosítójú sérülékenységek a CVSS 4.0 besorolás szerint egyaránt 9,2-es súlyosságúak. Az első sérülékenységet a memóriahiány kezelésének hibája okozza, amely részlegesen inicializált belső adatszerkezetek érvénytelen eléréséhez vezethet. A második esetben egy korábbi kérés felszabadított memóriájára mutató hivatkozások maradhatnak elérhetők, ami későbbi kérések feldolgozásakor memóriasérülést idézhet elő.
A problémák a PHP belső kérésfeldolgozását érintik, ezért kihasználásukhoz nincs szükség sérülékeny webalkalmazásra. A PHP-FPM, a mod_php, a php-cgi, a FrankenPHP és a LiteSpeed konfigurációk egyaránt érintettek lehetnek. A legnagyobb kockázatot az Apache mod_php modulja jelenti, ahol a támadás még az alkalmazáskód végrehajtása előtt kiváltható. A Debian és az Arch Linux biztonsági frissítésekkel reagált a sérülékenységekre. Az Arch Linux külön figyelmeztetésben sürgeti a rendszergazdákat, hogy a nyilvánosan elérhető PHP-alkalmazásokat futtató rendszereken haladéktalanul telepítsék a php 8.5.12 vagy a php-legacy 8.3.36 csomagot.
Az AlmaLinux műszaki irányítóbizottsága jóváhagyta a javítások kiadását a Red Hat és a CentOS Stream előtt. A javított csomagok hamarosan bekerülnek a tesztelési tárolókba, majd a tesztelés sikeres lezárását követően az éles tárolókban is elérhetővé válnak. A fejlesztők szerint a sérülékenységekre nincs teljes körű kerülőmegoldás, ezért a biztonságos működéshez elengedhetetlen a frissítés és az érintett PHP-szolgáltatások újraindítása. A PHP 8.2 támogatása 2026. december 31-én megszűnik.
