Cisco Talos poinformował w aktualizacji z 22 października, że po ujawnieniu luk CVE-2026-109618 i CVE-2026-109619 zaobserwował próby ich wykorzystania. Większość stanowiły skanowanie i nieskoordynowane próby dostarczenia ładunków. Talos opisał próby, nie udane włamania.
Co Talos zaobserwował po ujawnieniu luk
Opisane przez Talos skanowanie i dostarczanie ładunków to oznaki prób ataku, ale same w sobie nie potwierdzają przejęcia systemu. Wcześniej, 21 października 2026 r. o godz. 14:00 UTC, Talos informował, że do tego momentu nie zaobserwował wykorzystania luk w atakach. W aktualizacji z 22 października podał, że próby pojawiły się w ciągu kilku godzin od ujawnienia. Te oceny dotyczą różnych momentów.
Dwie luki w PHP i ich poprawki
CVE-2026-109618 i CVE-2026-109619 to luki w jądrze PHP, umożliwiające zdalne wykonanie kodu bez uwierzytelnienia. Według Talos dotyczą kompilacji PHP od wersji 5.4, a żądanie HTTP może dotrzeć do podatnego fragmentu kodu, zanim uruchomi się kod aplikacji. Talos przypisuje każdej luce ocenę 9,2 w skali CVSS v4.0.
CVE-2026-109618 wiąże się z obsługą braku pamięci: przerwanie inicjalizacji żądania może pozostawić niekompletne dane, które późniejsze sprzątanie potraktuje jak prawidłowe. CVE-2026-109619 dotyczy ponownego użycia nieaktualnego stanu wewnętrznego po zwolnieniu pamięci, do której był przypisany.
Wcześniej opisaliśmy wydania PHP naprawiające obie luki. CERT-EU wymienia jako poprawione wersje PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12.
Dlaczego tymczasowe ustawienia nie zastępują aktualizacji
Wyłączenie session.upload_progress.enabled blokuje opisane przez Talos ścieżki związane z sesjami w przypadku CVE-2026-109619. Nie obejmuje jednak innych wariantów tej luki ani CVE-2026-109618. Talos zaleca aktualizację do wydania zawierającego poprawkę, ponieważ tymczasowe ustawienia ograniczają konkretne ścieżki, ale nie zapewniają pełnej ochrony.
