În data de 20 octombrie 2026, echipa de securitate PHP a anunțat publicarea unei actualizări de securitate pentru remedierea a două vulnerabilități critice, ambele evaluate cu CVSS v4.0: 9.2. Lansarea este programată pentru miercuri, 21 octombrie 2026, la ora 14:00 UTC (17:00, ora României), cu precizarea că echipa PHP își rezervă dreptul de a publica actualizarea mai devreme dacă detaliile vulnerabilităților devin publice sau apar dovezi de exploatare activă. Versiunile afectate, versiunile corectate și detaliile tehnice urmează să fie publicate odată cu actualizarea.

CERT-EU a emis avizul de securitate 2026-018, în care asociază cele două vulnerabilități identificatorilor CVE-2026-109618 și CVE-2026-109619 și avertizează asupra posibilității de execuție de cod la distanță (RCE) fără autentificare. Evaluarea CERT-EU precizează însă că, la momentul publicării avizului, nu erau disponibile detalii tehnice complete, iar evaluarea impactului se baza parțial pe informații neoficiale apărute public, fără ca identificatorii CVE și scenariul de exploatare să fie confirmați de PHP.

Având în vedere utilizarea PHP în dezvoltarea aplicațiilor web, situația prezintă un risc potențial pentru organizațiile care operează aplicații bazate pe PHP accesibile din Internet. Exploatarea cu succes ar putea permite unui atacator să execute cod pe un server vulnerabil,  impactul depinzând de configurația mediului afectat și de privilegiile cu care rulează aplicația.

DETALII TEHNICE

Informații confirmate oficial de PHP:

– Au fost anunțate două vulnerabilități critice, fiecare cu un scor CVSS v4.0 de 9.2.

– Publicarea corecțiilor este programată pentru 21 octombrie 2026, ora 14:00 UTC, dar poate avea loc mai devreme dacă detaliile vulnerabilităților devin publice sau apar dovezi de exploatare activă.

Informații raportate de CERT-EU și cercetători de securitate, încă neconfirmate de PHP:

– Identificatori: CVE-2026-109618 și CVE-2026-109619.  Informațiile privind acești identificatori și scenariul de exploatare provin din scurgeri de informații raportate de cercetători de securitate, confirmate și citate de CERT-EU. La 21 octombrie 2026, nu existau încă înregistrări publice în NVD sau CVE.org.nile PHP începând cu PHP 5.

PHP

Ultima versiune publicată

Suport oficial

8.5

8.5.11

Da

8.4

8.4.26

Da

8.3

8.3.35

Da

8.2

8.2.34

Da, până la 31.12.2026

8.1 și mai vechi

–

Nu

Versiunile corectate trebuie verificate pe site-ul oficial PHP după publicarea actualizării. Până la apariția anunțului oficial, nu sunt disponibile detalii tehnice confirmate, o listă oficială a versiunilor afectate sau indicatori de compromitere (IoC), astfel, informațiile privind versiunile vulnerabile și cele corectate trebuie tratate ca neoficiale până la confirmarea lor de către PHP.

RECOMANDĂRI GENERALE

Până la publicarea corecțiilor oficiale:

• Identificați toate sistemele care utilizează PHP, precum soluțiile furnizorilor, serverele de test și aplicațiile vechi sau rar utilizate. Pentru fiecare instalare, verificați versiunea, sursa pachetelor și expunerea la Internet.
• Desemnați un responsabil pentru fiecare instalare și stabiliți cum vor fi aplicate actualizările în producție. Pentru serviciile de găzduire partajată sau administrată, contactați furnizorul.
• Dezactivați temporar funcția session upload progress: pentru sistemele care nu depind de aceasta, setați upload_progress.enabled = Off în php.ini. În cazul PHP-FPM, setarea poate fi impusă la nivelul fiecărui pool prin php_admin_flag[session.upload_progress.enabled] = off, urmată de repornirea serviciului. Precizăm că funcția de afișare a progresului încărcării fișierelor nu va mai fi disponibilă.
• Pentru aplicațiile care nu necesită încărcarea fișierelor, blocați la nivelul serverului web cererile cu antetul Content-Type: multipart/form-data. Un WAF (Web Application Firewall) poate contribui la protecție numai dacă serverul de origine nu poate fi accesat direct, ocolind filtrarea.
• Reduceți expunerea sistemelor critice: dacă o aplicație critică accesibilă din Internet nu poate fi actualizată imediat, evaluați izolarea temporară față de rețeaua publică, ținând cont de disponibilitatea serviciului, iar aplicațiile de test și cele neesențiale pot fi oprite până la remediere.
• Monitorizați net și lista de anunțuri php.announce, deoarece actualizarea ar putea fi publicată înainte de ora programată.

Atenție: măsurile temporare de mai sus nu sunt confirmate oficial de PHP și nu garantează protecția, iar actualizarea la ultima versiune este singura măsură eficientă. Setarea file_uploads = Off, activarea modului de mentenanță, utilizarea pluginurilor de securitate sau verificările de autentificare din aplicație nu trebuie considerate măsuri de protecție suficiente, deoarece pot interveni după procesarea cererii de către PHP.

După publicarea corecțiilor oficiale:

• Verificați versiunile afectate și corectate în anunțul oficial PHP și actualizați cu prioritate sistemele expuse la Internet.
• Verificați buletinele distribuțiilor Linux pentru sistemele care folosesc pachete furnizate de acestea, deoarece o corecție poate fi inclusă într-un pachet fără modificarea numărului de versiune PHP afișat.
• Asigurați încărcarea efectivă a versiunii corectate, respectiv reporniți PHP-FPM și procesele PHP de lungă durată și verificați versiunea utilizată efectiv de aplicație, precum și reconstruiți imaginile containerelor pe baza imaginilor actualizate.
• Eliminați măsurile temporare numai după confirmarea aplicării corecției și verificarea funcționării sistemelor.
• Verificați posibilele compromiteri produse începând cu 20 octombrie 2026, ora 15:00 UTC, monitorizați cereri multipart neobișnuite, erori ale proceselor PHP, fișiere noi sau modificate în directoarele web, modificări ale fișierelor .user.ini ori ale setării auto_prepend_file, sarcini programate sau chei SSH nou introduse, procese de tip shell ori utilitare de descărcare lansate de PHP sau conturi noi de administrator în aplicații.
• Dacă există indicii de compromitere, izolați serverul, păstrați jurnalele și celelalte dovezi, reinstalați sistemul din surse de încredere și schimbați parolele, cheile și secretele la care procesul PHP putea avea acces.

Pentru versiunile PHP ieșite din ciclul de suport:

Pentru PHP 8.1 și versiunile mai vechi, care nu mai beneficiază de suport oficial, nu sunt prevăzute corecții din partea PHP. Astfel, se recomandă migrarea cât mai rapidă la o versiune suportată, între PHP 8.2 și 8.5, și menținerea măsurilor temporare sau a izolarea sistemelor până la finalizarea migrării.

CONCLUZII

Cele două vulnerabilități critice din PHP pot afecta serviciile publice și private expuse în Internet, mai ales în contextul publicării unor informații înainte de disponibilitatea corecțiilor oficiale. Din experiențele anterioare se constată că vulnerabilitățile critice pot fi exploatate în mai puțin de 24 de ore de la publicarea detaliilor tehnice.

Se recomandă inventarierea imediată a instalărilor PHP, aplicarea măsurilor temporare acolo unde este posibil și evaluarea izolării aplicațiilor critice care nu pot fi actualizate rapid. Corecțiile oficiale trebuie aplicate cu prioritate după publicare pe sistemele afectate, după verificarea compatibilității

Instalările PHP ajunse la sfârșitul ciclului de viață (EOL), care nu mai beneficiază de actualizări de securitate și sunt expuse în Internet, prezintă un risc ridicat de compromitere, iar până la publicarea detaliilor tehnice oficiale, nicio configurație nu trebuie considerată sigură doar pe baza setărilor existente.

În conformitate cu Legea nr. 58/2023, art. 5 lit. a), responsabilitatea asigurării securității cibernetice și/sau apărării cibernetice a unui sistem, a unei rețele și/sau a unui serviciu informatic revine persoanei fizice sau juridice care le deține, le organizează, le administrează și/sau le utilizează.

Pentru mai multe informații și resurse, vă rugăm să vizitați website-ul DNSC.

pnrisc.dnsc.ro

Telefon 1911

#DNSC #alert #cybersecurity #awareness