Ez az oldal a közösségért készül. 
Kövess minket máshol is: 
Ha hasznosnak találod, és szeretnéd, hogy folytatódjon, támogasd a munkát 
A PHP fejlesztőcsapata sürgősségi biztonsági frissítéseket adott ki két kritikus sebezhetőségre, amelyek lehetővé teszik, hogy nem hitelesített támadók tetszőleges kódot futtassanak az érintett webszervereken. A javítások a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 verziókban érhetők el. A rendszergazdáknak erősen ajánlott az azonnali verziófrissítés.
A két sebezhetőség CVE-2026-109618 és CVE-2026-109619 azonosító alatt szerepel, CVSS 4.0 szerint 9,2-es súlyossági besorolással. Minden olyan PHP telepítést érintenek, amely webes kéréseket kezel, beleértve a PHP-FPM-et, az Apache mod_php modullal futó rendszereket, a php-cgi-t, a FrankenPHP-t és a LiteSpeedet.
A hivatalos PHP biztonsági közlemény szerint a legnagyobb kockázat az Apache mod_php konfigurációjához kapcsolódik. Kutatók kimutatták, hogy egy nem hitelesített kérés már azelőtt elindíthat egy támadást, hogy bármilyen alkalmazáskód lefutna.
Az első sebezhetőség, a CVE-2026-109618, memóriarongálódást okoz az out-of-memory helyzetek kezelése közben. Bizonyos körülmények között a PHP megszakíthatja a kérés feldolgozását, miközben a belső struktúrák még csak részben inicializálódtak, így az ezt követő takarítási műveletek érvénytelen adatokhoz férhetnek hozzá.
A második, a CVE-2026-109619, egy elavult globális állapottal kapcsolatos. Egy korábbi kéréshez tartozó memória felszabadulhat úgy, hogy a rá mutató hivatkozások továbbra is elérhetők maradnak, így egy későbbi, ugyanazon worker folyamat által kezelt kérés érvénytelen memóriával léphet kölcsönhatásba.
Különösen aggasztó, hogy a sebezhetőségek kihasználásához nincs szükség sebezhető PHP alkalmazásra vagy nyilvánosan elérhető fájlfeltöltési funkcióra. A problémák a PHP belső kérésfeldolgozásából erednek, ezért azoknál az adminisztrátoroknál is komoly kockázatot jelentenek, akik egyébként gondosan karbantartott alkalmazásokat üzemeltetnek.
Debian gyorsan reagált a sebezhetőségekre. A projekt kiadta a DSA-6574-1 közleményt, amely megerősíti, hogy a Debian 13 „Trixie” felhasználói a PHP 8.4.27-1~deb13u1 verzióra frissíthetnek. A Debian 12 „Bookworm” a biztonsági tárolóban megkapta a PHP 8.2.35-1~deb12u1 csomagot, a csomag changelogja pedig mindkét javítást kifejezetten felsorolja.
A súlyosság miatt az Arch Linux is hivatalos figyelmeztetést adott ki, amely arra kéri az adminisztrátorokat, hogy a nyilvánosan elérhető PHP alkalmazásokat futtató rendszereken azonnal frissítsenek php 8.5.12-re, vagy az adott csomagtól függően php-legacy 8.3.36-ra.
Az AlmaLinux technikai irányító bizottsága jóváhagyta, hogy ezeket a javításokat a Red Hat és a CentOS Stream előtt kiadják. A javított csomagok várhatóan még ma bekerülnek a teszt tárolókba, majd a tesztelés lezárulta után a produkciós tárolókba is átkerülnek.
Más Linux disztribúciók esetében az adminisztrátoroknak érdemes ellenőrizniük a tárolóikat a frissített PHP csomagokért. A disztribúciók karbantartói és a hosszú távú támogatást nyújtó gyártók előre megkapták a javítócsomagokat, hogy fel tudják készíteni a biztonsági frissítéseket, beleértve a visszaportolt javításokat is, ahol ez lehetséges.
A PHP 8.1 és a régebbi verziók upstream már nem kapnak támogatást, bár egyes disztribúciók továbbra is kiadhatnak hozzájuk biztonsági javításokat. Közben a PHP 8.2 is közeledik az életciklusa végéhez, amelynek dátuma 2026. december 31.
A PHP csapat azt is hangsúlyozza, hogy ezekre a sebezhetőségekre nincs teljes értékű kerülőmegoldás. A session.upload_progress.enabled kikapcsolása és a kérések méretének korlátozása csökkentheti bizonyos támadási vektorok kockázatát, de nem zárja ki az összes kihasználási forgatókönyvet.
Az adminisztrátoroknak mielőbb telepíteniük kell a megfelelő biztonsági frissítést, majd újra kell indítaniuk az érintett PHP workereket vagy szolgáltatásokat, hogy biztosan a javított kód fusson.
