PHP aptiktos dvi kritinės saugumo spragos, kurioms suteikti identifikatoriai CVE-2026–109618 ir CVE-2026–109619. Abiejų pažeidžiamumų pavojingumas pagal CVSS v4.0 įvertintas 9,2 balo iš 10.
Šiuo metu žinoma, kad spragomis pasinaudojęs užpuolikas pažeidžiamoje sistemoje gali savavališkai vykdyti komandas ir tam jam nereikia patvirtinti savo tapatybės.
PHP saugumo komanda pranešė, kad pataisos turėtų būti paskelbtos trečiadienį 17 val. Lietuvos laiku.
Ši programavimo kalba plačiai naudojama interneto programose – tiek viešai pasiekiamose, tiek vidinėse informacinėse sistemose ir izoliuotose programinės įrangos ekosistemose. Dėl to pažeidžiamumai gali paveikti daugybę skirtingų sistemų.
Estijos informacinių sistemų tarnyba (RIA) ragina paslaugų teikėjus ir sistemų administratorius kuo skubiau inventorizuoti visas PHP naudojančias sistemas bei pasirengti nedelsiant įdiegti atnaujinimus, kai tik jie bus išleisti. Tais atvejais, kai sistemos iš karto atnaujinti neįmanoma, rekomenduojama taikyti laikinas rizikos mažinimo priemones.
Spragoms pašalinti būtina atnaujinti PHP naudojančias sistemas į versijas, kuriose įdiegtos saugumo pataisos. Išsamesnė informacija apie pažeidžiamas ir atnaujintas versijas bus pateikta kartu su saugumo atnaujinimu.
Apie šiuos pažeidžiamumus taip pat paskelbė Latvijos reagavimo į kibernetinius incidentus tarnyba CERT.LV. Ji interneto svetainių administratorius paragino atnaujinimus įdiegti nedelsiant, kai tik jie bus prieinami vartotojams.
Reaguojant į grėsmę ir siekiant sumažinti galimą riziką, kai kurių interneto svetainių veikla visame pasaulyje laikinai sustabdyta.