To kritiske PHP-sårbarheter har fått PHPs sikkerhetsteam til å kunngjøre hasteoppdateringer 21. oktober. Kunngjøringen kommer etter meldinger om at informasjon om sårbarhetene ble spredt før den planlagte offentliggjøringen.
I sikkerhetsvarselet fra 20. oktober planla teamet å publisere oppdateringene klokken 14.00 UTC den 21. oktober. Begge sårbarhetene fikk en alvorlighetsgrad på 9,2 etter CVSS v4.0, og teamet oppfordret administratorer til å forberede rask installasjon.
PHP-teamet kan publisere rettelsene tidligere enn planlagt
Utviklerne opplyste at de kan publisere oppdateringene tidligere dersom tekniske detaljer blir offentlig kjent, eller hvis det dukker opp bevis på aktiv utnyttelse.
Det første sikkerhetsvarselet identifiserte imidlertid ikke hvilke PHP-versjoner som er berørt, hvilke forutsetninger som kreves for et angrep, eller hvilke utgivelser som vil inneholde rettelsene. Teamet planlegger å publisere denne informasjonen sammen med sikkerhetsoppdateringene.
PHP brukes av et bredt spekter av nettsteder og applikasjoner, inkludert nettbutikker, innholdsstyringssystemer og spesialutviklede tjenester. Kunngjøringen har derfor betydning for administratorer i mange ulike hostingmiljøer.
Forskere beskriver risiko for ekstern kjøring av kode
Sikkerhetsselskapet watchTowr identifiserte de rapporterte sårbarhetene som CVE-2026-109618 og CVE-2026-109619. Selskapet beskrev begge som sårbarheter som muliggjør ekstern kjøring av kode.
Forskerne opplyste også at de mente å ha klart å reprodusere CVE-2026-109618. De valgte imidlertid å holde tilbake teknisk informasjon i påvente av at sikkerhetsoppdateringene blir tilgjengelige.
Ifølge watchTowr ble informasjon om sårbarhetene lekket mens de fortsatt var underlagt en embargo for koordinert offentliggjøring. Selskapet opplyste at den opprinnelige tidsplanen la opp til offentliggjøring 22. oktober.
Samtidig ble et foruminnlegg, som senere ble slettet, spredt med samsvarende sårbarhetsidentifikatorer og påstander om alvorlighetsgrad og omfang.
Disse rapportene gir ytterligere kontekst, men de erstatter ikke PHP-teamets offisielle sikkerhetsvarsel.
Opplysninger om alvorlighetsgrad og berørte versjoner spriker
Den offisielle kunngjøringen og opplysninger fra tredjeparter er forskjellige på flere viktige punkter.
PHP ga hver av sårbarhetene en CVSS v4.0-poengsum på 9,2. Til sammenligning oppga watchTowr og det slettede foruminnlegget en poengsum på 10,0.
Forskerne antydet også at sårbarhetene kunne påvirke et bredt spekter av både eldre og nyere PHP-versjoner. PHP-teamet hadde likevel ikke bekreftet noen liste over berørte versjoner i den første kunngjøringen.
Administratorer bør derfor bruke den offisielle utgivelsesinformasjonen for å avgjøre om installasjonene deres trenger oppdateringer. De kritiske PHP-sårbarhetene krever oppmerksomhet, men det nøyaktige omfanget var fortsatt uklart da sikkerhetsvarselet ble publisert.
Forskere har ikke observert aktiv utnyttelse
Til tross for den rapporterte lekkasjen opplyste watchTowr at selskapet ikke hadde observert at angripere utnyttet noen av sårbarhetene i reelle angrep.
Denne uttalelsen gjenspeiler selskapets egen innsikt og er ikke et bevis på at utnyttelse ikke har forekommet andre steder. På samme måte betyr ikke den rapporterte informasjonslekkasjen at fungerende utnyttelseskode er offentlig tilgjengelig.
PHP-teamets mulighet til å publisere sikkerhetsoppdateringene tidligere gjenspeiler at situasjonen kan endre seg før den planlagte utgivelsen.
Administratorer oppfordres til å forberede oppdateringer
Det umiddelbare budskapet fra PHPs sikkerhetsteam er at administratorer bør forberede seg på å installere rettelsene så snart de blir tilgjengelige.
Når de nye utgivelsene kommer, kan administratorer kontrollere hvilke versjoner som er bekreftet berørt, gjennomgå det tekniske sikkerhetsvarselet og installere de aktuelle oppdateringene.
Inntil da fastslår kunngjøringen fra 20. oktober det planlagte tidspunktet for utgivelsen og de offisielle alvorlighetsgradene. Den inneholder ennå ikke nok informasjon til å avgjøre hvor utsatt en bestemt PHP-installasjon er.
0 responses to “Kritiske PHP-sårbarheter fører til hasteoppdatering etter rapportert lekkasje”