PHP planerar att släppa akuta säkerhetsuppdateringar för två kritiska sårbarheter

Bild: Ars Technica · Källa

PHPs underhållsteam förbereder sig för att släppa akuta korrigeringar för två högt allvarliga sårbarheter med en poäng på 9,2. Uppdateringarna adresserar en exploit kallad PHP2Shell som möjliggör fjärrkörning av kod på flera PHP-baserade plattformar.

PHP, ett mycket spritt öppet källkods-skript språk som driver många webbplatser och applikationer, står inför att släppa akuta säkerhetsuppdateringar för två kritiska sårbarheter. Sårbarheterna, identifierade som CVE-2026-109618 och CVE-2026-109619, har fått en allvarlighetsbedömning på 9,2 av 10 av PHPs underhållsteam. Uppdateringarna förväntas släppas inom kort, med varningar om att detaljer eller bevis på aktiv exploatering kan leda till ett tidigare släpp.

En ovärderad rapport publicerades samtidigt som en demonstrationsvideo av ett exploateringsverktyg kallat PHP2Shell, som påstås möjliggöra fjärrkörning av kod på webbservrar som kör olika PHP-baserade innehållshanteringssystem och applikationer. Dessa inkluderar populära plattformar som WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel versionerna 8.83.29 och 13.36.0, Symphony 8.1.9, Drupal 11.4.10 och WHMCS 9.0.9.

Säkerhetsföretaget watchTowr angav att dessa sårbarheter påverkar varje PHP-version från och med PHP 5, som släpptes 2004, och har självständigt bekräftat deras äkthet. Flera säkerhetsföretag, inklusive Sansec, Webfence och Huntress, har utfärdat varningar, där Sansec förutspår massiva exploateringsförsök kort efter att korrigeringarna publicerats.

Administratörer uppmanas att förbereda sig proaktivt genom att identifiera de som ansvarar för PHP-underhållet, inventera PHP-baserade applikationer, planera in en underhållsperiod – rekommenderat att påbörjas klockan 14:00 UTC, men eventuellt tidigare – samt säkerställa fullständiga säkerhetskopior av webbplatser och databaser. Experter rekommenderar även att noggrant följa den officiella PHP.net-webbplatsen för uppdateringar eller tidigare släpp av korrigeringar.

Eftersom PHP är väsentligt för miljontals webbplatser och interna verktyg globalt – uppskattningsvis 1,3 miljoner internetanslutna värdar potentiellt sårbara – kan effekten av dessa säkerhetsbrister bli omfattande. Organisationer rekommenderas att överväga att tillfälligt koppla bort icke-nödvändiga system tills uppdateringarna är applicerade. Vaksamhet är fortsatt avgörande då korrigeringarna kan publiceras när som helst för att mildra aktiva hot.