От PHP обявиха, 2 критични уязвимости във PHP, които биха могли да доведат до remote code execution.
На 21.10.2026 PHP пуснаха актуализации за PHP, във версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Обявените уязвимости са:
CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) с CVSS 9.2, която позволява remote code execution, чрез memory corruption during out-of-memory (OOM) handling
CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), с CVSS 9.2, позволяваща remote code execution чрез stale global state.
За уязвимостите има налични публични експойти.
Засегнати версии:
Affected Products
- PHP 8.5 версиите преди 8.5.12
- PHP 8.4 версиите преди 8.4.27
- PHP 8.3 версиите преди 8.3.36
- PHP 8.2 версиите преди 8.2.35
- End-of-life версии (PHP 8.1 и по-стари), които няма да получат актуализации от PHP.
CERT България ви препоръчва да актуализирате инсталираните от Вас версии на PHP.
For more information:
https://cert.europa.eu/publications/security-advisories/2026-018
https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
https://www.php.net/archive/2026.php#2026-10-20-1
https://www.php.net/index.php#2026-10-20-1
https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp