Krytyczne podatności w PHP core. Wyszła łatka.

Podatności umożliwiają zdalny dostęp na serwer i nie wymagają uwierzytelnienia w atakowanej aplikacji. CVE-2026-109618 / CVE-2026-109619.

Ważne, wg doniesień – wystarczy nawet prosta aplikacja Hello World w PHP udostępniona do Internetu aby być podatnym (podatności nie bazują na lukach w kodzie PHP, jest to podatność w samym silniku PHP):

Exploitation does not depend on a flaw in the application’s code: even a simple “Hello World” application running on an affected PHP version can be vulnerable.

Team PHP wydał łatki (linie 8.2.x 8.3.x 8.4.x 8.5.x) z adnotacją aby łatać się jak najszybciej. Pojawiły się już pierwsze exploity, ale i szybkie metody na przeżycie do czasu jej zaaplikowania.

Poprzednie wersje (linie) PHP również są podatne (jedna podatność aż od linii 5.x w górę), ale tutaj nie ma łatek. Jeśli nie możesz podnieść w trybie pilnym wersji PHP, zastosuj się do rekomendacji opisanych tutaj – sekcja If you cannot upgrade immediately.

Na deser – podatności zostały wykryte z bardzo mocnym użyciem AI. Badacze z firmy Wiz opisują to w ten sposób:

We used (…) Gemini 4 Argon and GPT-5.6 Sol throughout this research. Notably, Gemini 4 Argon made an invaluable contribution to finding the vulnerability, exploit development, attack detection, and validation of the patch.

~ms