Säkerhet · 23 oktober 2026
PHP släpper kritiska säkerhetsuppdateringar för att stoppa fjärrkörning av kod
PHP-utvecklingsteamet har släppt säkerhetsuppdateringar för att åtgärda två kritiska sårbarheter som kan tillåta fjärrkörning av kod utan autentisering. Uppdateringarna publicerades den 21 oktober och omfattar versionerna PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35.
Båda sårbarheterna har tilldelats ett betyg på 9,2 enligt CVSS v4.0. De identifierade riskerna gäller alla PHP-miljöer som hanterar webbanrop, inklusive PHP-FPM, Apache mod_php, php-cgi, FrankenPHP och LiteSpeed. Risken bedöms vara högst för mod_php, där attacker kan genomföras via oautentiserade anrop innan applikationskoden körs, vilket resulterar i att kod exekveras med rättigheterna för processen som hanterar webbanropet.
Sårbarheten CVE-2026-109618 är kopplad till hanteringen av minnesbrist. Om minnesallokeringen misslyckas under initieringen av interna data för en begäran kan ett ofullständigt tillstånd kvarstå, vilket kan leda till fjärrkörning av kod när efterföljande avslutningsprocesser använder dessa data.
Sårbarheten CVE-2026-109619 berör kvarvarande interna tillstånd från avslutade begäran. Intern information som normalt raderas kan i vissa fall, såsom vid kritiska fel eller varningar under avslutningsprocessen, lämna referenser till frigjort minne i arbetarprocessen. Om en ny begäran använder dessa gamla referenser innan initiering kan det leda till fjärrkörning av kod. Denna sårbarhet har verifierats i både mod_php och PHP-FPM, även om villkoren för PHP-FPM beror på applikationens behandling.
För användare av versioner som inte längre stöds, såsom PHP 7.4, 8.0 och 8.1, har minimala rättningar tillhandahållits i form av källkod för att stödja dem som bygger från källan eller saknar långtidsstöd från leverantörer. PHP Foundation uppmanar alla användare att uppdatera omedelbart, då endast fullständiga uppdateringar ger ett komplett skydd.
Som tillfälliga lindringar föreslås inställningen memory_limit=-1 för minnesbristproblemet, samt att inaktivera spårning av uppladdningsförlopp via session.upload_progress.enabled=0 för den andra sårbarheten. I PHP 8.5 kan även fatal_error_backtraces=0 användas för att inaktivera backtraces vid kritiska fel. Dessa åtgärder kräver omstart av alla arbetare och skyddar endast mot specifika attackvägar.
PHP Foundation medger att strukturella problem, inklusive brist på personal med djup kunskap om PHP-motorn och långsamma beslutsprocesser, fördröjde rättningarna. Problemen upptäcktes initialt under en extern revision 2024, men prioriterades ner då konkreta attackvägar saknades. Efter rapporter från Calif och OpenAI den 11 augusti 2026 prioriterades arbetet. Stiftelsen söker nu finansiellt stöd från företag och offentliga institutioner för att öka antalet ingenjörer som kan hantera komplexa säkerhetsrättningar.