Säkerhet · 24 oktober 2026
PHP Foundation avslöjar svårigheter med sårbarheter
PHP Foundation har klargjort processen från upptäckten av två allvarliga sårbarheter i PHP till åtgärd. Vissa problem identifierades redan 2024, men på grund av brist på resurser har åtgärderna dragit ut på tiden. Det var planerat att offentliggöra information efter samordning mellan berörda parter, men före offentliggörandet inträffade läckage av information vilket ledde till förvirring.
Den 21 oktober 2026 släpptes uppdateringar, PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35, för att åtgärda sårbarheterna ”CVE-2026-109618” och ”CVE-2026-109619”, som kan leda till att kod exekveras utan autentisering. Användare av PHP uppmanas att omedelbart uppdatera för att säkerställa sin säkerhet.
I tillägg till att förklara processen bakom åtgärderna, har PHP Foundation också belysat den förvirring som uppstod vid offentliggörandet av information.
De identifierade problemen är relaterade till minneshantering och felhantering som används i nästan alla förfrågningar. Dessa utgör allvarliga sårbarheter med omfattande konsekvenser, vilket försvårade åtgärderna på grund av behovet av samordning mellan berörda parter och påverkan på prestanda.
Tecken på ”CVE-2026-109618” upptäcktes under en extern revision som genomfördes 2024, där andra problem påpekades. Även om det fanns misstankar om potentiell utnyttjande förutsågs inte attackvägar, och mer specifika problem prioriterades istället.