To kritiske PHP-sårbarheder har fået PHP’s sikkerhedsteam til at annoncere hasteopdateringer den 21. oktober. Meddelelsen kommer efter rapporter om, at oplysninger om sårbarhederne blev spredt før den planlagte offentliggørelse.
I sin sikkerhedsmeddelelse den 20. oktober planlagde teamet at udgive opdateringerne kl. 14.00 UTC den 21. oktober. Begge sårbarheder fik en alvorlighedsgrad på 9,2 efter CVSS v4.0, og teamet opfordrede administratorer til at forberede sig på hurtig installation.
PHP-teamet kan udgive rettelserne før tid
Udviklerne oplyste, at de kan offentliggøre opdateringerne tidligere, hvis tekniske detaljer bliver offentligt tilgængelige, eller hvis der dukker beviser på aktiv udnyttelse op.
Den første sikkerhedsmeddelelse identificerede dog ikke de berørte PHP-versioner, forklarede ikke kravene til et angreb eller angav, hvilke udgivelser der indeholder rettelserne. Teamet planlægger at offentliggøre disse oplysninger sammen med sikkerhedsopdateringerne.
PHP understøtter en bred vifte af websites og applikationer, herunder webbutikker, indholdsstyringssystemer og specialudviklede tjenester. Meddelelsen har derfor betydning for administratorer i mange forskellige hostingmiljøer.
Forskere beskriver risiko for fjernkørsel af kode
Sikkerhedsfirmaet watchTowr identificerede de rapporterede sårbarheder som CVE-2026-109618 og CVE-2026-109619. Firmaet beskrev begge som sårbarheder, der muliggør fjernkørsel af kode.
Forskerne oplyste også, at de mente at have reproduceret CVE-2026-109618. De tilbageholdt dog tekniske oplysninger, indtil rettelserne blev udgivet.
Ifølge watchTowr lækkede oplysninger om sårbarhederne, mens de stadig var omfattet af en embargo for koordineret offentliggørelse. Firmaet oplyste, at den oprindelige tidsplan pegede på den 22. oktober.
Samtidig blev et forumindlæg, der senere blev slettet, spredt med tilsvarende sårbarhedsidentifikatorer og påstande om deres alvorlighedsgrad og omfang.
Disse rapporter giver yderligere kontekst, men de erstatter ikke PHP-teamets officielle sikkerhedsmeddelelse.
Oplysninger om alvorlighedsgrad og berørte versioner stemmer ikke overens
Den officielle meddelelse og tredjepartsoplysningerne adskiller sig på flere vigtige punkter.
PHP tildelte hver sårbarhed en CVSS v4.0-score på 9,2. Til sammenligning beskrev watchTowr og det slettede forumindlæg dem med en score på 10,0.
Forskerne antydede også, at sårbarhederne kunne påvirke en bred vifte af både ældre og nyere PHP-versioner. PHP-teamet havde dog ikke bekræftet en liste over berørte versioner i sin første meddelelse.
Administratorer bør derfor bruge de officielle udgivelsesoplysninger til at afgøre, om deres installationer skal opdateres. De kritiske PHP-sårbarheder kræver opmærksomhed, men deres præcise omfang var stadig uklart, da sikkerhedsmeddelelsen blev offentliggjort.
Forskere har ikke observeret aktiv udnyttelse
På trods af den rapporterede lækage oplyste watchTowr, at firmaet ikke havde observeret angribere udnytte nogen af sårbarhederne i aktive angreb.
Udtalelsen afspejler firmaets egen indsigt og er ikke et bevis på, at sårbarhederne ikke er blevet udnyttet andre steder. Tilsvarende betyder den rapporterede offentliggørelse af oplysninger ikke, at fungerende exploit-kode er offentligt tilgængelig.
PHP-teamets mulighed for at udgive rettelserne tidligere afspejler, at situationen kan ændre sig inden den planlagte offentliggørelse.
Administratorer opfordres til at forberede opdateringer
Det umiddelbare budskab fra PHP’s sikkerhedsteam er, at administratorer bør forberede sig på at installere rettelserne, så snart de bliver tilgængelige.
Når opdateringerne udkommer, kan administratorer kontrollere de bekræftede berørte versioner, gennemgå den tekniske sikkerhedsmeddelelse og installere de relevante opdateringer.
Indtil da fastslår meddelelsen fra den 20. oktober det planlagte udgivelsestidspunkt og de officielle alvorlighedsgrader. Den indeholder endnu ikke tilstrækkelige oplysninger til at afgøre, hvor udsat en bestemt PHP-installation er.
0 svar til “Kritiske PHP-sårbarheder fører til akut sikkerhedsopdatering efter rapporteret lækage”