PHP објави безбедносни ажурирања за две критични ранливости — CVE-2026-109618 и CVE-2026-109619. Под одредени услови, тие може да овозможат далечинско извршување код без претходна автентикација.

Двете ранливости го засегаат самиот PHP runtime, што значи дека ризикот не е ограничен на конкретен CMS или framework. WordPress, Laravel, Symfony и други PHP апликации може да работат на засегната PHP верзија дури и кога самата апликација е целосно ажурирана.

Важно: администраторите на PHP сервери и апликации треба да ја проверат PHP верзијата што моментално се користи и да го применат безбедносното ажурирање што е можно поскоро.

Двете ранливости накратко

CVE-2026-109618

Далечинско извршување код преку Out-of-Memory corruption

Во специфични ситуации со недостиг на меморија, PHP може да остави внатрешни структури во невалидна или делумно иницијализирана состојба.

Critical · CVSS 9.2
CVE-2026-109619

Далечинско извршување код преку stale global state

Дел од глобалната состојба на PHP може да остане поврзан со меморија од претходно HTTP барање и подоцна да биде пристапен од друго барање обработено од истиот worker.

Critical · CVSS 9.2

Кои PHP верзии се засегнати?

Безбедносни корекции се објавени за тековно поддржаните PHP branches. Системите што користат постари верзии треба да бидат ажурирани.

PHP верзија Засегнати верзии Верзија со корекција
PHP 8.2 под 8.2.35 8.2.35+
PHP 8.3 под 8.3.36 8.3.36+
PHP 8.4 под 8.4.27 8.4.27+
PHP 8.5 под 8.5.12 8.5.12+

Минимални препорачани верзии

PHP 8.2 8.2.35+
PHP 8.3 8.3.36+
PHP 8.4 8.4.27+
PHP 8.5 8.5.12+

Што претставува CVE-2026-109618?

CVE-2026-109618 е поврзана со начинот на кој PHP обработува Out-of-Memory (OOM) состојби.

Под одредени околности, PHP може да ја прекине тековната операција пред делови од неговите внатрешни структури на податоци да бидат целосно иницијализирани. Подоцна, shutdown обработката може да ја процесира оваа неконзистентна состојба и потенцијално да предизвика memory corruption.

Доколку успешно се искористи, напаѓач може потенцијално да изврши произволен код со привилегиите на PHP worker процесот.

Зошто оваа ранливост е сериозна?

Во одредени deployment конфигурации, нападот може да биде извршен далечински преку HTTP без претходен пристап до административен интерфејс или автентицирана корисничка сметка.

Што претставува CVE-2026-109619?

Втората ранливост е поврзана со управувањето со глобалната состојба помеѓу одделни HTTP барања.

PHP worker процесите обично обработуваат повеќе барања во текот на својот животен циклус. По завршувањето на едно барање, внатрешната состојба треба правилно да биде исчистена и повторно иницијализирана.

На одредени error paths, дел од оваа состојба може да остане поврзан со меморија која веќе е ослободена. Следно барање обработено од истиот worker може да пристапи до оваа stale информација.

Ваквото однесување може да доведе до use-after-free состојба и потенцијално да предизвика memory corruption и извршување код.

Кои околини треба да се проверат?

Ако PHP обработува јавно достапни HTTP барања, верзијата на runtime треба да се провери без разлика на начинот на кој е поставена апликацијата.

  • Apache со mod_php
  • PHP-FPM
  • php-cgi
  • FrankenPHP
  • LiteSpeed / LSAPI
  • Docker контејнери со PHP
  • WordPress hosting околини
  • Laravel и Symfony апликации

Што треба да направат системските администратори?

Кај runtime ранливости од овој тип, проверките не треба да се ограничат само на верзијата што ја враќа CLI.

Треба да бидат проверени сите production околини, worker процеси и container images.

  • Проверете ја вистинската PHP верзија што ја користи web server-от.
  • Надградете до поправената security верзија за соодветниот branch.
  • Рестартирајте PHP-FPM, Apache или соодветниот runtime по ажурирањето.
  • Проверете ги сите PHP-FPM pools.
  • Проверете ги Docker images и нивните PHP base images.
  • Ажурирајте ги и production и staging околините.
  • Проверете ги апликациите што сè уште користат неподдржани PHP верзии.
  • Следете ги web server и application logs за невообичаена активност.

Што значи ова за WordPress веб-страниците?

CVE-2026-109618 и CVE-2026-109619 не се WordPress ранливости. Станува збор за проблеми во PHP runtime.

Сепак, ова значи дека целосно ажурирана WordPress веб-страница може и понатаму да работи на ранлива PHP верзија.

Поради тоа, одржувањето на WordPress веб-страница треба да вклучува не само ажурирање на WordPress core, темите и plugins, туку и редовно одржување на server environment.

PHP 8.1 и постари верзии

Ако вашата веб-страница сè уште користи PHP верзија надвор од официјалниот support lifecycle, ситуацијата бара дополнително внимание.

Некои Linux дистрибуции може да обезбедат backported security patches, но нивната достапност зависи од конкретниот оперативен систем и vendor.

Добра практика: апликациите што работат на неподдржан runtime треба да бидат планирани за миграција кон тековно поддржана PHP верзија, наместо долгорочно да зависат од legacy security одржување.

Постои ли workaround без ажурирање?

Кај критични runtime ранливости, привремените конфигурациски промени може да го намалат ризикот кај одредени exploitation paths, но не треба да се сметаат за еквивалент на официјален security patch.

Најсигурниот пристап е PHP да се надгради на верзија што ги содржи безбедносните корекции.

Безбедноста не завршува со кодот на апликацијата

Една production веб-страница е изградена врз цел технолошки стек. Ранливост во кој било слој може да ја изложи целата апликација на ризик.

  • Оперативен систем
  • Web server
  • PHP runtime
  • Framework или CMS
  • Composer dependencies
  • Database server
  • Docker images
  • Reverse proxy
  • SSL/TLS конфигурација

Security patching е дел од одржувањето на инфраструктурата.

Кај критични RCE ранливости, времето помеѓу објавувањето на advisory и реалната примена на security update е важен дел од управувањето со ризик.

Официјални извори

Најчесто поставувани прашања

Колку се сериозни CVE-2026-109618 и CVE-2026-109619?

Двете ранливости се оценети како Critical и, под одредени услови, може да овозможат далечинско извршување код.

Дали WordPress е ранлив?

Проблемот е во PHP runtime, а не во самиот WordPress. Сепак, WordPress веб-страница што работи на засегната PHP верзија го користи истиот ранлив runtime и затоа бара ажурирање на ниво на сервер.

Дали е доволно само да се рестартира PHP-FPM?

Не. Рестартирањето на сервисот не го заменува security update. Прво треба да се инсталира поправената PHP верзија, а потоа да се рестартираат worker процесите.

На која PHP верзија треба да надградиме?

Минималните верзии што ги содржат објавените безбедносни корекции се PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 и PHP 8.5.12.

Не сте сигурни дали вашата инфраструктура е засегната?

DXA Soft може да ја провери вашата PHP околина, deployment конфигурацијата и инсталираните верзии, и да помогне со ажурирање на серверите и апликациите.

Контактирајте нè