Šta se desilo?

PHP projekat je 21. oktobra objavio bezbednosna izdanja za CVE-2026-109618 i CVE-2026-109619. Administratori treba da provere i PHP ugrađen u druge proizvode, uz potvrdu dobavljača o pogođenosti i dostupnoj ispravci.

Koga pogađa?

Provera obuhvata PHP-FPM, mod_php, CGI i druge načine posluživanja web zahteva. Pogođenost nije ograničena na PHP 8.1 i starije. Podržane grane imaju ispravke u 8.2.35, 8.3.36, 8.4.27 i 8.5.12; distribucije mogu isporučiti zakrpu pod svojim oznakama paketa.

Kako se zaštititi?

  • Popišite sve PHP instalacije, kontejnere, hosting naloge i proizvode sa ugrađenim PHP-om.
  • Instalirajte odgovarajući paket sa ispravkom i pratite uputstva dobavljača.
  • Ponovo pokrenite pogođene radne procese prema postupku nadogradnje i proverite aktivnu verziju.
  • Za zastarele grane proverite vendor backport ili planirajte prelazak na podržanu verziju.
  • Od hosting provajdera tražite potvrdu zakrpe za konkretno okruženje.
  • Pregledajte tragove mogućeg prodora i ograničite pristup dok sanacija nije završena.

Tehnički detalji

CVE-2026-109619 uključuje stanje koje ostaje dostupno radnom procesu nakon oslobađanja memorije prethodnog zahteva. Tačna putanja zavisi od operacija i konfiguracije. Isključivanje session.upload_progress.enabled zatvara potvrđene session putanje, ali ne sve varijante. PHP navodi da samo ažuriranje predstavlja potpuno rešenje.

Zašto je važno?

Instaliran novi paket nije dovoljan dokaz da su svi servisi počeli da ga koriste. Takođe, proizvod na listi onih koji se proveravaju nije automatski potvrđen kao ranjiv. Status treba utvrditi za tačno izdanje i način instalacije.

Preporuka Sajber Radara

Vodite evidenciju sa nazivom sistema, aktivnom verzijom, potvrdom ispravke i rezultatom provere incidenta. Za komercijalne uređaje koristite podržanu vendor nadogradnju umesto ručne zamene ugrađenog PHP-a.