Dodatek 21.10.2026 ob 16:00
PHP je izdal popravke za omenjeni ranljivosti. Ranljivosti so odpravljene v verzijah PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Čeprav trenutno na SI-CERT še ne razpolagamo z informacijami, da bi se predmetne ranljivosti že izkoriščale v realnih napadih, vsem upravljavcem sistemov svetujemo takojšnjo namestitev popravkov oz. izvedbo mitigacijskih ukrepov, če takojšnja namestitev ni možna: https://www.php.net/archive/2026.php#2026-10-21-5
Dodatne informacije o ranljivostih in ukrepih so v referencah na koncu tega obvestila.
Objavljeno 21.10.2026 09:10
Povzetek
Fundacija PHP (*) je 20.10.2026 napovedala izdajo varnostnih popravkov, ki odpravljajo dve kritični ranljivosti v PHP-ju z oznakama CVE-2026-109618 in CVE-2026-109619. Izkoriščanja teh ranljivosti bi lahko privedlo do oddaljenega izvajanja kode (RCE).
Tehnični podatki o ranljivostih še niso bili javno objavljeni. SI-CERT uporabnikom in organizacijam svetuje, da se pripravijo na takojšnjo namestitev popravkov na vseh prizadetih sistemih. Kjer takojšnja namestitev popravkov ni izvedljiva, naj organizacije razmislijo o izolaciji spletnih aplikacij iz javnih omrežij, dokler ne bo na voljo rešitev.
Fundacija PHP izdajo popravkov načrtuje za 21.10.2026 ob 16:00 uri (UTC+2). Izdaja popravkov je bila najprej načrtovana za 22.10.2026, vendar so kasneje prestavili datum na en da prej, najverjetneje zaradi pojava nekaterih informacije v javnosti.
(*) PHP (PHP Hypertext Preprocessor) je priljubljen odprtokodni skriptni programski jezik, ki se uporablja za razvoj dinamičnih spletnih strani in aplikacij. Razvoj jezika PHP danes poteka pod okriljem neprofitne organizacije The PHP Foundation. PHP je najbolj razširjen strežniški programski jezik na svetu, po nekaterih ocenah poganja približno 70% vseh spletnih strani.
Podrobnosti
Trenutno za CVE-2026-109618 in CVE-2026-109619 niso na voljo nobene javno znane tehnične podrobnosti , razen njunih ocen CVSS 9,2, ki kažeta na možnost oddaljenega neavtentificiranega izvajanja poljubne kode.
Ranljive verzije
Te ranljivosti bi lahko vplivale na vse različice PHP od PHP 5 naprej.
Priporočila
Uporabnikom in organizacijam priporočamo, da identificirajo vse spletne aplikacije, ki temeljijo na PHP, in se pripravijo na namestitev popravkov takoj, ko bodo na voljo popravljene različice. Kjer takojšnja odprava napake ni izvedljiva, bi morale organizacije razmisliti o izolaciji spletnih aplikacij iz javnih omrežij, dokler ni mogoče namestiti popravka, oz. o izvedbi drugih mitigacijskih ukrepov, ki bodo preprečili izkoriščanje ranljivosti.
Nekateri viri kot mitigacijski ukrep priporočajo nastavitev parametra session.upload_progress.enabled = Off v konfiguracijski datoteki php.ini, vendar pa ta ukrep po trenutno znanih podatkih ne prepreči izkoriščanja ranljivosti.
Problematične so lahko tudi spletne aplikacije, ki temeljijo na vgrajenem (embedded) PHP-ju. V teh primerih ranljivosti verjetno ne bo možno odpraviti, dokler posamezni proizvajalci ne pripravijo ustreznih rešitev.
Glede na naravo ranljivosti se pričakuje, da bo koda, ki bo izkoriščala ranljivosti (t.i. exploit), na voljo v zelo kratkem času po objavi popravkov. Poleg tega se glede zelo pogosto uporabo PHP v spletnih aplikacijah v naslednjih dneh pričakuje množično skeniranje in izkoriščanje ranljivosti.