26 października 2026 r. amerykańska agencja CISA dodała CVE-2026-109618 i CVE-2026-109619 do katalogu Known Exploited Vulnerabilities (KEV), obejmującego luki wykorzystywane w atakach. Poprawki PHP dla obu błędów były dostępne od 21 października. Argentyńskie dane o witrynach rządowych dotyczą wykrytych sygnałów użycia PHP, a nie potwierdzonych włamań.

Co oznacza wpis CISA do katalogu KEV

CISA sklasyfikowała oba błędy jako znane z wykorzystywania. Jej komunikat z 26 października dotyczy statusu podatności; nie podaje liczby ataków na argentyńskie instytucje.

Luki dotyczą PHP działającego na serwerze. W określonych warunkach mogą umożliwić zdalne wykonanie kodu bez uwierzytelnienia. Oznacza to ryzyko dla podatnego serwera, a nie uruchamianie PHP na urządzeniu osoby odwiedzającej stronę.

Dwa CVE i różne błędy w PHP

Według opisu The PHP Foundation CVE-2026-109618 wiąże się z uszkodzeniem pamięci po wystąpieniu błędu braku pamięci. W Apache z mod_php nieuwierzytelnione żądanie może wywołać problem, zanim ruszy kod aplikacji. Fundacja podała, że zdalne wykonanie kodu zademonstrowano przy domyślnych ustawieniach; potwierdzono je również na ścieżkach aplikacji korzystających z PHP-FPM.

CVE-2026-109619 dotyczy nieaktualnego stanu wewnętrznego żądania. Po błędzie krytycznym stan może nadal wskazywać pamięć zwolnioną po obsłudze wcześniejszego żądania. Kolejne żądanie obsłużone przez ten sam proces roboczy może wtedy użyć zwolnionej pamięci. The PHP Foundation potwierdziła błąd typu use-after-free i awarię procesu roboczego; badacz zademonstrował też zdalne wykonanie kodu w rzeczywistej aplikacji działającej z Apache i mod_php.

Które wersje PHP zawierają poprawki

21 października 2026 r. projekt PHP opublikował wydania naprawiające oba błędy: 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Wcześniejsze omówienie poprawek i działań administratorów znajduje się w artykule NeoTeo o lukach PHP.

Według zaleceń BA-CSIRT PHP 8.1 i starsze gałęzie nie są objęte oficjalnym wsparciem projektu i nie otrzymały równoważnych nowych wydań z poprawkami. Administratorzy starszych instalacji powinni przejść na wspieraną gałąź albo zastosować pakiet bezpieczeństwa dostarczony przez właściwego dostawcę lub dystrybucję.

Co wiadomo o argentyńskich instytucjach i witrynach gob.ar

Ariel Cessario, były koordynator CERT Argentyny, powiedział dziennikowi Clarín, że do 22 października Argentina.gob.ar oraz ministerstwa zdrowia i gospodarki zastosowały zalecane środki. Cessario zaznaczył, że nie mógł potwierdzić działań pozostałych instytucji.

Wyniki zewnętrznego przeglądu Segu-info, opisane przez Clarín, obejmowały stan na 29 października 2026 r. Z 35 847 witryn ujętych w inwentarzu przeanalizowano 13 977; w 4 758 wykryto sygnały użycia PHP. To liczba witryn, w których pojawiły się takie sygnały, a nie liczba serwerów podatnych na te CVE ani potwierdzonych włamań.

W 2 354 przypadkach przegląd wskazywał bezpośrednie ślady PHP, a w kolejnych 2 404 użycie tego języka wywnioskowano z wykrytych aplikacji. Wśród około 2 350 witryn, dla których rozpoznano wersję, 47% miało PHP 4, 5 lub 7, a 9% PHP 8.0 lub 8.1, według danych przytoczonych przez Clarín.

Kontrole zalecane administratorom PHP

BA-CSIRT zaleca administratorom:

  • sprawdzić używaną wersję PHP;
  • zaktualizować ją do poprawionego wydania albo zastosować pakiet bezpieczeństwa od dostawcy lub dystrybucji;
  • sprawdzić wszystkie środowiska PHP, nie tylko główny serwer;
  • skontaktować się z dostawcą hostingu lub zespołem technicznym, jeśli to oni zarządzają serwerem.

Tymczasowe środki ograniczające ryzyko nie zastępują aktualizacji, podkreśla BA-CSIRT.