Axios podał 22 października 2026 r., że dzień wcześniej pojawił się możliwy atak wykorzystujący dwie luki PHP, a dziesiątki stron czasowo wyłączono. PHP opublikowało poprawki 21 października. The PHP Foundation informowała, że w chwili ich publikacji jej zespół nie zidentyfikował funkcjonalnego exploita.
Co zgłoszono po ujawnieniu luk
Według Axios potencjalny atak i czasowe wyłączenia stron miały miejsce 21 października. The PHP Foundation podała, że identyfikatory CVE zaczęły krążyć w internecie dzień wcześniej, a przed skoordynowanym ujawnieniem pojawiły się także poprawione pliki binarne i film z dowodem koncepcji (PoC). W reakcji PHP przyspieszyło plan publikacji poprawek o jeden dzień.
Czym różnią się luki CVE-2026-109618 i CVE-2026-109619
Obie luki mogą w określonych warunkach umożliwić zdalne wykonanie kodu (RCE), czyli uruchomienie kodu na serwerze bez uwierzytelnienia. PHP oceniło każdą z nich na 9,2 w skali CVSS v4.0.
| CVE | Mechanizm | Opisany skutek |
| CVE-2026-109618 | Uszkodzenie pamięci przy jej wyczerpaniu (OOM). Przerwanie obsługi żądania może pozostawić wewnętrzne dane częściowo zainicjalizowane, a sprzątanie może potraktować je jak prawidłowe. | RCE bez uwierzytelnienia w określonych warunkach. Wiz zademonstrowała też zdalny odczyt pamięci procesu. |
| CVE-2026-109619 | Nieaktualny stan globalny po błędzie krytycznym. Kolejne żądanie obsługiwane przez ten sam proces roboczy może użyć stanu po zwolnieniu pamięci. | RCE bez uwierzytelnienia w określonych warunkach. |
PHP wskazało, że ryzyko dotyczy instalacji obsługujących żądania internetowe, a najwyższe jest w przypadku mod_php. W tym trybie nieuwierzytelnione żądanie może uruchomić podatną ścieżkę, zanim ruszy kod aplikacji.
Jaką rolę odegrały AI, badacze i opiekunowie PHP
Narzędzia AI wspomagały pracę badaczy, ale to ludzie zgłaszali i analizowali luki, a poprawki przygotowali opiekunowie PHP. OpenAI podało, że firma Calif zidentyfikowała krytyczny błąd z użyciem GPT-5.6 Sol. Wiz niezależnie odkryła i zgłosiła obie luki, a PHP Foundation opisała także zgłoszenia od OpenAI. Naprawami kierowali opiekunowie PHP.
Według PHP Foundation programista PHP zauważył oznaki problemu z wyczerpaniem pamięci już w 2024 r., ale nie miał wtedy konkretnej ścieżki jego wykorzystania. W sierpniu 2026 r. badacz Ryan A z Calif zgłosił zdalne wykonanie kodu mające ten sam podstawowy mechanizm. To wcześniejsze rozpoznanie problemu i późniejsze zgłoszenia badaczy poprzedziły wydanie poprawek.
Które wersje PHP zawierają poprawki
PHP wydało poprawione wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35 21 października 2026 r. Projekt wskazuje aktualizację jako jedyne pełne rozwiązanie. Ustawienia tymczasowe ograniczają wybrane ścieżki ataku, ale nie zastępują poprawki.
PHP 8.1 i starsze wersje nie otrzymują już aktualizacji od projektu PHP. Niektórzy dostawcy dystrybucji i wersji z długoterminowym wsparciem udostępniają jednak poprawki wsteczne, czyli backporty. Administratorzy korzystający z tych wydań powinni sprawdzić pakiety u swojego dostawcy. Szczegóły techniczne i zalecenia aktualizacji zawiera oficjalny komunikat bezpieczeństwa PHP. Wcześniejsze omówienie NeoTeo dotyczy poprawek dla obu luk PHP.
