PHP, програмскиот јазик на кој работат WordPress, Drupal, Joomla и MediaWiki, доби итни безбедносни надградби. На 21 октомври излегоа верзиите 8.5.12, 8.4.27, 8.3.36 и 8.2.35, кои поправаат два критични пропусти што му овозможуваат на напаѓач без најава да изврши свој код на серверот.
Пропустите се означени како CVE-2026-109618 и CVE-2026-109619, со оценка 9,2 според CVSS 4.0, а заедно се познати како PHP2Shell. Според PHP, загрозени се сите инсталации што служат веб барања, вклучително PHP-FPM, Apache со mod_php, php-cgi, FrankenPHP и LiteSpeed, а ризикот е најголем кај mod_php.
Проблемот е во самиот PHP, а не во апликациите, па според Wiz ранлива може да биде дури и едноставна „Hello World“ страница, а компанијата наведува дека PHP се користи на 70% од веб страниците.
Пропустите ги открија истражувачите од Calif, OpenAI и Wiz. Calif пишува дека првиот го нашле на 1 август во рамки на иницијативата Patch the Planet на OpenAI, а до PHP го пријавиле на 11 август. Сличен проблем бил пријавен уште во 2020 година и повторно пронајден при ревизија во 2024, но тогаш не било докажано дека може да се искористи.
Wiz тврди дека напредните „AI“ модели, меѓу кои и Gemini 4 Argon, значително ја намалиле бариерата за претворање на долгогодишниот пропуст во функционален напад. Вакво нешто веројатно ќе гледаме сè почесто, бидејќи истите алатки им се достапни и на напаѓачите.
PHP на 20 октомври најави закрпа за 21 октомври во 16 часот по македонско време, со право да ја објави порано ако деталите станат јавни. Новите верзии излегоа околу 14 часа пред тој термин.
SecurityWeek пишува дека информациите протекле на 20 октомври и дека по грешка било објавено видео со функционален напад. Според нив, watchTowr забележал обиди за напад, но ниеден успешен, а Cloudflare потврди дека гледа рани напади.
PHP 8.1 и постарите верзии повеќе не добиваат официјални надградби, иако тимот објави минимални закрпи во изворниот код за 7.4, 8.0 и 8.1. Дистрибуциите на Linux закрпите ги добија однапред.
Привремените мерки, како поставување „memory_limit“ на -1 и исклучување на „session upload progress“, се однесуваат секоја на различен пропуст. Според PHP, тие само ја намалуваат изложеноста и не го прават серверот безбеден.
Летово WordPress имаше критични пропусти со слично име, но овојпат проблемот е еден слој подолу. Тоа значи дека ажуриран WordPress не помага ако PHP на серверот не е надграден, па сопствениците на страници на споделен хостинг зависат од тоа колку брзо ќе реагира нивниот провајдер.
