Två kritiska PHP-sårbarheter har fått PHP:s säkerhetsteam att meddela att akuta säkerhetsuppdateringar ska släppas den 21 oktober. Beskedet kommer efter rapporter om att information om sårbarheterna spreds före det planerade offentliggörandet.
I sin säkerhetsvarning den 20 oktober planerade teamet uppdateringarna till klockan 14.00 UTC den 21 oktober. Båda sårbarheterna fick allvarlighetsgraden 9,2 enligt CVSS v4.0, och teamet uppmanade administratörer att förbereda sig för att installera uppdateringarna snarast möjligt.
PHP-teamet kan släppa korrigeringarna tidigare än planerat
Utvecklarna uppgav att de kan publicera uppdateringarna tidigare om tekniska detaljer blir offentliga eller om det framkommer bevis på aktivt utnyttjande.
Den första säkerhetsvarningen angav dock inte vilka PHP-versioner som påverkas, vilka förutsättningar som krävs för en attack eller vilka versioner som kommer att innehålla korrigeringarna. Teamet planerar att publicera denna information tillsammans med säkerhetsuppdateringarna.
PHP används av ett stort antal webbplatser och applikationer, inklusive nätbutiker, innehållshanteringssystem och specialutvecklade tjänster. Därför har beskedet betydelse för administratörer i många olika hostingmiljöer.
Forskare beskriver risker för fjärrkörning av kod
Säkerhetsföretaget watchTowr identifierade de rapporterade sårbarheterna som CVE-2026-109618 och CVE-2026-109619. Företaget beskrev båda som sårbarheter som möjliggör fjärrkörning av kod.
Forskarna uppgav också att de tror sig ha lyckats återskapa CVE-2026-109618. De valde dock att inte offentliggöra teknisk information i väntan på säkerhetsuppdateringarna.
Enligt watchTowr läckte information om sårbarheterna medan de fortfarande omfattades av ett embargo för samordnat offentliggörande. Företaget uppgav att den ursprungliga tidsplanen pekade på den 22 oktober.
Samtidigt spreds ett foruminlägg, som senare raderades, med motsvarande sårbarhetsidentifierare och påståenden om deras allvarlighetsgrad och omfattning.
Dessa rapporter ger ytterligare sammanhang, men de ersätter inte PHP-teamets officiella säkerhetsvarning.
Uppgifter om allvarlighetsgrad och berörda versioner skiljer sig åt
Det officiella meddelandet och uppgifter från tredje part skiljer sig åt på flera viktiga punkter.
PHP gav båda sårbarheterna poängen 9,2 enligt CVSS v4.0. Däremot angav watchTowr och det raderade foruminlägget poängen 10,0.
Forskarna antydde också att sårbarheterna kan påverka ett brett urval av både äldre och nyare PHP-versioner. PHP-teamet hade dock inte bekräftat någon lista över berörda versioner i sitt första meddelande.
Administratörer bör därför använda den officiella versionsinformationen för att avgöra om deras installationer behöver uppdateras. De kritiska PHP-sårbarheterna kräver uppmärksamhet, men deras exakta omfattning var fortfarande oklar när säkerhetsvarningen publicerades.
Forskare har inte observerat något aktivt utnyttjande
Trots den rapporterade läckan uppgav watchTowr att företaget inte hade observerat att angripare utnyttjade någon av sårbarheterna i verkliga attacker.
Detta uttalande speglar företagets insyn och innebär inte något bevis för att sårbarheterna inte har utnyttjats någon annanstans. På samma sätt innebär den rapporterade informationsläckan inte att fungerande exploateringskod finns offentligt tillgänglig.
PHP-teamets möjlighet att släppa säkerhetsuppdateringarna tidigare speglar risken för att situationen kan förändras före den planerade publiceringen.
Administratörer uppmanas att förbereda uppdateringar
Det viktigaste budskapet från PHP:s säkerhetsteam är att administratörer bör förbereda sig för att installera korrigeringarna så snart de blir tillgängliga.
När de nya versionerna släpps kan administratörer kontrollera vilka versioner som bekräftats vara berörda, granska den tekniska säkerhetsinformationen och installera lämpliga uppdateringar.
Fram till dess fastställer meddelandet från den 20 oktober den planerade publiceringstiden och de officiella allvarlighetsgraderna. Det innehåller ännu inte tillräckligt med information för att avgöra hur exponerad en specifik PHP-installation är.
0 svar till ”Kritiska PHP-sårbarheter leder till akut säkerhetsuppdatering efter rapporterad läcka”