PHP публикува security актуализации за две критични уязвимости — CVE-2026-109618 и CVE-2026-109619. При определени условия те могат да позволят изпълнение на код от разстояние без предварителна автентикация.

И двете уязвимости засягат самия PHP runtime, което означава, че рискът не е ограничен до конкретна CMS система или framework. WordPress, Laravel, Symfony и други PHP приложения могат да работят върху засегната PHP версия, дори когато самото приложение е напълно актуализирано.

Важно: администраторите на PHP сървъри и приложения трябва да проверят използваната версия и да приложат security update възможно най-скоро.

Двете уязвимости накратко

CVE-2026-109618

Remote Code Execution чрез Out-of-Memory corruption

При специфични ситуации с изчерпване на паметта PHP може да остави вътрешни структури в невалидно или частично инициализирано състояние.

Critical · CVSS 9.2
CVE-2026-109619

Remote Code Execution чрез stale global state

Част от глобалното състояние на PHP може да остане свързано с памет от предишна HTTP заявка и да бъде използвано от следваща заявка към същия worker.

Critical · CVSS 9.2

Кои PHP версии са засегнати?

Security корекциите са публикувани в новите версии на поддържаните PHP branches. Системи, които използват по-стари версии, трябва да бъдат актуализирани.

PHP версия Засегнати версии Security версия
PHP 8.2 под 8.2.35 8.2.35+
PHP 8.3 под 8.3.36 8.3.36+
PHP 8.4 под 8.4.27 8.4.27+
PHP 8.5 под 8.5.12 8.5.12+

Минимални препоръчителни версии

PHP 8.2 8.2.35+
PHP 8.3 8.3.36+
PHP 8.4 8.4.27+
PHP 8.5 8.5.12+

Какво представлява CVE-2026-109618?

CVE-2026-109618 е свързана с обработката на Out-of-Memory (OOM) състояния в PHP.

При определени обстоятелства PHP може да прекъсне текущата операция, преди част от вътрешните данни да бъдат напълно инициализирани. По-късно shutdown обработката може да използва това състояние, което създава възможност за memory corruption.

При успешна експлоатация атакуващият може потенциално да постигне изпълнение на произволен код с правата на PHP worker процеса.

Защо това е сериозен риск?

При определени deployment конфигурации атаката може да бъде изпълнена дистанционно през HTTP без предварителен достъп до административен панел или потребителски акаунт.

Какво представлява CVE-2026-109619?

Втората уязвимост е свързана с управлението на глобално състояние между отделни HTTP заявки.

PHP worker процесите обикновено обслужват множество заявки. След приключването на една заявка вътрешното състояние трябва да бъде правилно освободено и инициализирано отново.

При определени error paths част от това състояние може да остане свързано с вече освободена памет. Следваща заявка към същия worker може да достигне тази stale информация.

Подобно поведение може да създаде use-after-free сценарий и потенциално да доведе до memory corruption и изпълнение на код.

Кои среди трябва да бъдат проверени?

Ако PHP обработва публични HTTP заявки, използваната версия трябва да бъде проверена независимо от начина, по който е разположено приложението.

  • Apache с mod_php
  • PHP-FPM
  • php-cgi
  • FrankenPHP
  • LiteSpeed / LSAPI
  • Docker контейнери с PHP
  • WordPress хостинг среди
  • Laravel и Symfony приложения

Какво трябва да направят системните администратори?

При подобни runtime уязвимости проверката не трябва да се ограничава само до версията, използвана от CLI.

Необходимо е да бъдат проверени всички production среди, worker процеси и container images.

  • Проверете реалната PHP версия, използвана от web server-а.
  • Актуализирайте до security версия от съответния branch.
  • Рестартирайте PHP-FPM, Apache или съответния runtime след update.
  • Проверете всички PHP-FPM pools.
  • Проверете Docker images и техните base images.
  • Обновете както production, така и staging средите.
  • Проверете приложенията, използващи неподдържани PHP версии.
  • Наблюдавайте web server и application logs за необичайно поведение.

Какво означава това за WordPress сайтовете?

CVE-2026-109618 и CVE-2026-109619 не са WordPress vulnerabilities. Те са проблеми в PHP runtime.

Това обаче означава, че напълно актуализиран WordPress сайт може все още да работи върху уязвима PHP версия.

Затова поддръжката на един WordPress сайт трябва да включва не само актуализация на WordPress core, теми и plugins, но и регулярна поддръжка на server environment.

PHP 8.1 и по-старите версии

Ако сайтът все още използва PHP версия извън официалния support lifecycle, ситуацията трябва да бъде разгледана още по-внимателно.

Някои Linux дистрибуции могат да предоставят backported security patches, но наличието им зависи от конкретната операционна система и доставчик.

Добра практика: приложения върху неподдържан runtime трябва да бъдат планирани за миграция към актуална PHP версия, а не да разчитат дългосрочно на legacy security поддръжка.

Има ли workaround без актуализация?

При critical runtime vulnerability временните конфигурационни мерки могат в някои случаи да ограничат определени exploitation paths, но не трябва да се разглеждат като еквивалент на security patch.

Надеждният подход е актуализиране на PHP до версия, която съдържа официалната корекция.

Сигурността не приключва с кода на приложението

Един production сайт представлява цял технологичен стек. Уязвимост в който и да е слой може да засегне цялото приложение.

  • Операционна система
  • Web server
  • PHP runtime
  • Framework или CMS
  • Composer dependencies
  • Database server
  • Docker images
  • Reverse proxy
  • SSL/TLS конфигурация

Security patching е част от поддръжката на инфраструктурата.

При критични RCE уязвимости периодът между публикуването на advisory и реалното прилагане на security update е важен фактор за нивото на риск.

Официални източници

Често задавани въпроси

Колко сериозни са CVE-2026-109618 и CVE-2026-109619?

И двете уязвимости са оценени като Critical и могат при определени условия да доведат до remote code execution.

WordPress ли е уязвим?

Проблемът е в PHP runtime, а не в WordPress. WordPress сайт върху засегната PHP версия обаче използва същия runtime и трябва да бъде актуализиран на ниво сървър.

Достатъчен ли е рестарт на PHP-FPM?

Не. Рестартът не заменя security update. Първо трябва да бъде инсталирана коригираната PHP версия, след което worker процесите да бъдат рестартирани.

Към коя PHP версия трябва да обновим?

Минималните версии с публикуваните security корекции са PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 и PHP 8.5.12.

Не сте сигурни дали вашата инфраструктура е засегната?

DXA Soft може да извърши техническа проверка на PHP средата, deployment конфигурацията и използваните версии и да съдейства при актуализацията на сървъра и приложенията.

Свържете се с нас