Krytyczne s vulnerabilities w PHP wykorzystywane w rzeczywistych atakach

Dwie krytyczne s vulnerabilities w języku programowania PHP zostały potwierdzone jako wykorzystywane w rzeczywistych cyberatakach. S vulnerabilities umożliwiają uruchomienie złośliwego kodu na narażonych serwerach. Odkrycia dokonał badacz bezpieczeństwa Adel Karimi, który użył tzw. honeypots do ich wykrycia. Karimi udokumentował udany atak na serwer Apache z PHP 8.4.26. Potwierdzenie tego zdarzenia nadeszło od innego badacza bezpieczeństwa, Marcusa Hutchinsa.

Obie s vulnerabilities, CVE-2026-109618 i CVE-2026-109619, zostały załatane w wyniku pilnych aktualizacji bezpieczeństwa 21 października. Zespół bezpieczeństwa PHP ostrzegł, że inna s vulnerability, CVE-2026-115560, nadal nie ma aktualizacji. Ta s vulnerability stanowi jednak ryzyko tylko dla systemów z nietypową kombinacją ustawień i kodu. Administratorzy są zalecani do tymczasowego dezaktywowania funkcji session.upload_progress.enabled.