Autorzy języka PHP zapowiedzieli publikację poprawek dla dwóch zagrożeń, z których każde otrzymało wynik 9,2 na 10 w skali ciężkości. Ostrzeżenie opublikowano po wycieku niepotwierdzonych szczegółów oraz nagrania prezentującego narzędzie o nazwie PHP2Shell, które ma zdalnie wykonywać kod na serwerach.
Zagrożone platformy i wersje
Wspomniane nagranie miało prezentować działanie exploitu na systemach i aplikacjach działających w oparciu o PHP. Wśród wymienionych programów znalazły się:
- WordPress 7.1.3
- MediaWiki 1.46.2
- phpBB 3.3.17
- Magento 2.4.9
- Joomla 6.2.0
- Laravel 13.36.0 oraz Laravel 8.83.29
- Symphony 8.1.9
- Drupal 11.4.10
- WHMCS 9.0.9
Firma analityczna watchTowr potwierdziła istnienie problemów oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619, podając, że dotykają one wszystkich wydań języka począwszy od wersji PHP 5 z 2004 roku. Specjaliści z firmy Sansec spodziewają się masowych ataków w ciągu kwadransa od momentu opublikowania poprawek.
Zalecenia dla administratorów
Zalecenia przygotowawcze obejmują ustalenie osoby odpowiedzialnej za zarządzanie PHP w organizacji, inwentaryzację wszystkich aplikacji opartych na tym języku, zaplanowanie okna serwisowego z uwzględnieniem możliwości wcześniejszego wdrożenia poprawek, wykonanie kopii zapasowej plików serwisu oraz bazy danych, monitorowanie oficjalnej strony PHP.net pod kątem wcześniejszych komunikatów oraz odłączenie systemów niebędących niezbędnymi do czasu ich zaktualizowania.
Poprawki w kodzie źródłowym trafiły do repozytorium projektu w serwisie GitHub, a pakiety oraz obrazy dockerowe zaczęły trafiać do użytkowników. Zaleceniem pozostaje niezwłoczna instalacja aktualizacji.