Krytyczna podatność w PHP

Zespół bezpieczeństwa PHP wieczorem 20 października zapowiedział krytyczną poprawke bezpieczeństwa, zaplanowaną na 21 października 2026 godz: 16:00. Komunikat na php.net mówi o dwóch podatnościach, obu wstępnie ocenionych na 9,2 w skali CVSS v4.0, co kwalifikuje je jako krytyczne. Pełne szczegóły, w tym listę wersji podatnych i naprawionych, PHP ma opublikować dopiero razem z wydaniem.

Podatności zostały oznaczone jako CVE-2026-109618 i CVE-2026-109619

 

Jakie wersje PHP są objęte

Oficjalnie zakres wersji zostanie podany dopiero w komunikacie wydania. Aktualne gałęzie wspierane przez zespół PHP w momencie zapowiedzi to 8.2, 8.3, 8.4 i 8.5, z ostatnimi wydaniami bezpieczeństwa odpowiednio 8.2.34, 8.3.35, 8.4.26 i 8.5.11. Wersje poza aktywnym wsparciem, czyli PHP 8.1 i starsze, w tym cała gałąź PHP 7, nie otrzymają oficjalnej poprawki niezależnie od tego, czy są podatne, więc dla tych środowisk jedyną drogą jest migracja na wspieraną wersję.

Co monitorować do czasu wydania poprawki

Warto obserwować archiwum newsów na php.net oraz oficjalne kanały bezpieczeństwa PHP, ponieważ zespół zastrzegł możliwość wcześniejszego wydania, jeśli szczegóły podatności wyciekną publicznie albo pojawią się dowody aktywnego wykorzystania. Dobrym nawykiem jest też sprawdzenie, czy używany model uruchamiania PHP to proces typu prefork, na przykład Apache z mod_php, ponieważ część nieoficjalnych doniesień wskazuje ten model jako szczególnie istotny dla analizy ryzyka, w odróżnieniu od PHP-FPM, CGI czy LiteSpeed.

Co zrobić już teraz

Zinwentaryzować wszystkie zasoby z PHP i ich dokładne wersje. Przygotować proces szybkiej aktualizacji dla środowisk produkcyjnych, żeby wdrożenie poprawki nie czekało na standardowe okno serwisowe. Zweryfikować, które systemy działają na wersjach bez aktywnego wsparcia, i potraktować je priorytetowo pod kątem migracji.