Projekt PHP opublikował w środę, 21 października 2026 roku o godz. 14:00 UTC, wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35 swojego języka programowania. Naprawiają one dwie podatności, CVE-2026-109618 i CVE-2026-109619, ocenione na 9,2 w skali CVSS v4.0, które mogą umożliwiać zdalne wykonanie kodu bez uwierzytelnienia. Identyfikator CVE oznacza zarejestrowaną lukę w zabezpieczeniach, a wynik CVSS mierzy jej powagę.
Według wydawcy, wszystkie instalacje obsługujące żądania internetowe są zagrożone, w przypadku PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP lub LiteSpeed, przy czym najwyższe ryzyko oceniono dla mod_php. Tego samego dnia CERT-FR zaktualizował swoje ostrzeżenie CERTFR-2026-ALE-014, a Ministerstwo Spraw Wewnętrznych wyłączyło swoje narażone strony, w tym prefektury. Opublikowana przez PHP Foundation chronologia wskazuje, że usterka będąca źródłem pierwszej luki była znana od 2024 roku, bez znanego wektora ataku.
Usterka wykryta podczas audytu z 2024 roku
W 2024 roku PHP przechodzi swój pierwszy od lat zewnętrzny audyt bezpieczeństwa. Sfinansowany przez niemiecką Sovereign Tech Agency, zorganizowany przez OSTIF i przeprowadzony przez francuską firmę Quarkslab, audyt ten prowadzi dewelopera rdzenia PHP do wykrycia, podczas naprawy jednego ze zgłoszonych problemów, pierwszych oznak usterki związanej z błędami wyczerpania pamięci (out-of-memory). Teoretyzowano wtedy możliwość wykorzystania, ale bez konkretnego wektora.
Naprawa napotkała następnie trudności w ustaleniach. Każde rozważane podejście łamało kompatybilność, otwierało ryzyko ataku typu „odmowa usługi » lub wymagało modyfikacji wielu zewnętrznych rozszerzeń, których nie dało się skoordynować. Zespół ds. bezpieczeństwa, który decyduje na zasadzie konsensusu, widział, jak prace „utknęły i były ponownie uruchamiane wielokrotnie przez miesiące ». Fundacja pisze, że „opóźnienie było porażką strukturalną », spowodowaną tym trybem decyzyjnym i brakiem środków.
Calif, OpenAI i Wiz: lato demonstracji
W ramach programu Patch the Planet, firma Calif rozpoczyna audyt PHP 30 lipca 2026 roku. 11 sierpnia jej badacz Ryan A. zgłasza bezwarunkowe zdalne wykonanie kodu, o tej samej przyczynie źródłowej co usterka z 2024 roku. OpenAI, którego zespół Codex Security fundacja uznaje za źródło, zgłasza tę samą przyczynę tego samego dnia. Wiz Research dołącza 24 sierpnia z innymi wektorami ataku. Od 11 sierpnia, pisze fundacja, naprawa staje się priorytetem całego jej zespołu ds. bezpieczeństwa.
Wiz informuje, że użył swojego narzędzia Wiz Atlas, Gemini 4 Argon od Google i GPT-5.6 Sol od OpenAI. Jego chronologia umieszcza odkrycie pierwszej luki na 19 sierpnia, potwierdzone wykonanie kodu 20 sierpnia na Drupalu i 21 na WordPressie, oraz zgłoszenie do PHP 24 sierpnia. Według firmy, jeden badacz, korzystając z tych modeli, zamknął w tydzień to, co zajęłoby czołowemu zespołowi miesiące. Fundacja odnotowuje ponadto 15 opublikowanych od 1 lipca CVE oraz ponad 100 zgłoszeń odrzuconych jako nieprawidłowe, powielone lub niemożliwe do odtworzenia.
Wydanie było planowane na 22 października. 20 października około godz. 15:00 UTC, dwa identyfikatory CVE zaczęły krążyć na forach i mediach społecznościowych, z błędną godziną publikacji i fałszywym wynikiem CVSS 10. Według fundacji, nie wyciekły żadne szczegóły techniczne. PHP przesunął swoje wstępne ogłoszenie i wydanie na 21 października. Chainguard opublikował 21 października o 7:41 UTC obrazy zawierające poprawkę ponad sześć godzin przed wydaniem, co fundacja określa jako jednostronne złamanie embarga.
Izolować, a następnie migrować – zalecenie CERT-FR
CERT-FR wymienia jako zagrożone wszystkie wersje 5.x, 6.x, 7.x, 8.0.x i 8.1.x, a także gałęzie 8.2 do 8.5 starsze niż poprawione wersje. Dla gałęzi, których wydawca już nie utrzymuje, zaleca izolację urządzeń, a następnie migrację do utrzymywanej wersji. Tymczasowe obejścia, w konfiguracji PHP lub na zaporze aplikacyjnej, nie są oceniane przez CERT-FR. Według Anssi, ponad 600 000 serwerów używa PHP w francuskim Internecie. Ministerstwo Spraw Wewnętrznych wprowadziło w tryb konserwacji zapobiegawczej swoje narażone strony, zgodnie z oświadczeniem przytoczonym przez AFP. 22 października o 8:33 czasu paryskiego, strona CNIL i impots.gouv.fr wyświetlały stronę konserwacji, podobnie jak strona prefektury Seine-Saint-Denis. Żadna z tych stron nie wspomina o PHP.
Cloudflare informuje, że zaobserwował ruch atakujący skierowany przeciwko swoim klientom, oraz że atakujący modyfikowali swoje żądania, aby obejść jego reguły filtrowania. Według fundacji, w momencie publikacji nie zidentyfikowano żadnego działającego exploita. W podanym terminie żadne z cytowanych źródeł nie donosiło o udanym włamaniu.
Utrzymywane wersje otrzymały poprawkę w dniu ujawnienia. Główne ryzyko dotyczy serwerów nadal korzystających z PHP 8.1 lub starszych, których projekt już nie aktualizuje. Dla PHP 7.4, 8.0 i 8.1, jego zespół ds. bezpieczeństwa dostarczył minimalne backporty, przeznaczone dla tych, którzy kompilują ze źródeł. PHP Foundation apeluje do firm, hostingu i administracji opierających się na PHP o jej finansowanie, ponieważ bezpieczeństwo silnika nadal, jak pisze, zależy od „małej grupy deweloperów finansowanych przez fundację i odrobiny pomocy wolontariuszy ».
