PHP publiceert beveiligingsupdate voor twee ernstige kwetsbaarheden

aerial photo of city — Jonathan Kim / Unsplash

De beveiligingsteams van PHP hebben aangekondigd dat zij op 21 oktober om 23:00 uur (Japanse tijd) een beveiligingsversie zullen publiceren om twee ernstige kwetsbaarheden aan te pakken. Beide kwetsbaarheden zijn beoordeeld met een CVSS v4.0-score van "9.2 (ernstig)" en gebruikers worden aangespoord zich voor te bereiden op een onmiddellijke update na publicatie.

De update is naar verwachting gericht op de momenteel officieel ondersteunde versies van PHP 8.2, 8.3, 8.4 en 8.5. Voor versies van PHP 8.1 en eerder is de officiële ondersteuning inmiddels beëindigd, en het is onwaarschijnlijk dat deze versies een beveiligingsupdate zullen ontvangen.

Beveiligingsonderzoekers hebben gesuggereerd dat een breed scala aan versies van PHP 5 en later mogelijk getroffen kunnen worden. Dit betekent dat gebruikers van oudere versies moeten overwegen om over te stappen naar nieuwere versies.

Na de publicatie van de fix is er bezorgdheid dat aanvallers ook toegang krijgen tot informatie over de kwetsbaarheden, waardoor het tijdsgevoelig kan worden om de updates door te voeren. Sitebeheerders wordt aangeraden om de versie van hun PHP-software en de updateprocedures te controleren, zodat ze na de publicatie de relevante versies kunnen vergelijken en de nodige stappen kunnen ondernemen.