- PHP har släppt uppdateringar för två kritiska säkerhetshål som gör det möjligt att köra skadlig kod på distans
- Säkerhetsforskare och Cloudflare rapporterade om tidiga angreppsförsök redan innan uppdateringarna fanns tillgängliga
- Miljontals PHP-installationer som är tillgängliga via internet kan vara i riskzonen, särskilt äldre versioner som inte längre får säkerhetsuppdateringar
PHP har släppt säkerhetsuppdateringar för två kritiska sårbarheter som möjliggör fjärrkörning av kod (RCE) och uppmanar starkt alla användare att installera dem så snart som möjligt, eftersom hackare redan har börjat utnyttja säkerhetshålen i verkliga attacker.
PHP har publicerat en ny säkerhetsvarning där utvecklarna bekräftar att sårbarheterna CVE-2026-109618 och CVE-2026-109619 har åtgärdats. Den första rör ett fel i hanteringen av situationer där minnet tar slut, medan den andra är ett så kallat use-after-free-fel, där programmet försöker använda minne som redan har frigjorts. Båda har fått allvarlighetsgraden 9,2 av 10, vilket klassas som kritiskt.
Säkerhetshålen har åtgärdats i PHP-versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35. Användare kan ladda ner de uppdaterade versionerna från PHP nedladdningssidor, där även källkod och installationsfiler för Windows finns tillgängliga. Linuxdistributioner och leverantörer som erbjuder långsiktigt stöd (LTS) ska ha fått tillgång till uppdateringarna i förväg, så användare rekommenderas att kontrollera om uppdaterade paket finns hos respektive leverantör.
Säkerhetshålen skakar om internet
PHP är ett av världens mest använda programmeringsspråk för hemsidor och webbapplikationer. När tidigare okända säkerhetshål som gör det möjligt att köra kod på distans upptäcks är det därför en mycket allvarlig händelse.
Tanken var att PHP-utvecklare skulle arbeta med en lösning i det tysta, för att inte ge cyberkriminella ett försprång. Men information om sårbarheterna läckte ut på internet två dagar innan uppdateringarna släpptes, vilket orsakade stor oro. Enligt Reuters valde flera myndigheter, vårdorganisationer och utbildningsinstitutioner runt om i Europa att tillfälligt stänga ned sina hemsidor för att undvika att bli utsatta för attacker.
Olika källor kom med motstridiga uppgifter. Florian Roth, forskningschef på Nextron Systems, hävdade exempelvis att båda sårbarheterna skulle få den högsta möjliga allvarlighetsgraden, 10 av 10, vilket inte blev fallet. Han uppgav också att endast PHP 8 skulle få säkerhetsuppdateringar, vilket däremot visade sig stämma, trots att andra källor hävdade att även versioner så gamla som PHP 5 skulle åtgärdas.
Det här är också mycket allvarligt, eftersom miljontals hemsidor sannolikt fortfarande använder äldre PHP-versioner som inte längre får säkerhetsuppdateringar och därför kan bli relativt enkla måltavlor. Med hänvisning till VirusTotal rapporterar BleepingComputer att över 5,1 miljoner PHP-servrar för närvarande är exponerade mot internet, varav omkring 3,8 miljoner har minst en öppen port.
Enligt PHP är alla installationer som hanterar webbförfrågningar potentiellt sårbara, däribland PHP-FPM, Apache med mod_php, php-cgi, FrankenPHP och LiteSpeed.
”Vi bedömer att risken är störst för mod_php, där det finns en demonstrerad attackmetod som gör det möjligt för en förfrågan från en oinloggad användare att utlösa angreppet innan någon kod från webbapplikationen ens har körts”, skriver utvecklarna.
Äldre PHP-versioner får inga säkerhetsuppdateringar
PHP 8.1 och äldre versioner kommer inte att få några officiella säkerhetsuppdateringar, vilket innebär att den som fortfarande använder någon av dessa versioner är utsatt för risk.
Cloudflares teknikchef Dane Knecht uppgav att företaget redan såg tecken på tidiga attacker och arbetade med att uppdatera sina skyddsåtgärder i takt med att nya angreppsmetoder upptäcktes. Uttalandet kom bara några timmar innan PHP släppte sina säkerhetsuppdateringar.
”Med tanke på hur allvarliga dessa sårbarheter är har PHP säkerhetsteam tillhandahållit begränsade säkerhetsfixar i källkoden för PHP 7.4, PHP 8.0 och PHP 8.1, för att hjälpa dem som bygger PHP från källkod eller saknar tillgång till en leverantör med långsiktigt stöd”, tillägger PHP.
Det säkraste alternativet är att uppdatera PHP. För dem som inte kan göra det omedelbart rekommenderar utvecklarna flera tillfälliga skyddsåtgärder, men betonar att dessa inte är någon fullständig lösning.
För säkerhetshålet som rör minneshantering rekommenderar utvecklarna att administratörer ställer in lämpliga minnesgränser och begränsar storleken på inkommande förfrågningar, inklusive filuppladdningar, för att minska risken för minnesrelaterade attacker. Administratörer kan också använda resursbegränsningar för containrar för att förhindra att en sårbar serverprocess påverkar resten av systemet.
För det andra säkerhetshålet, som rör användning av redan frigjort minne, rekommenderar PHP att administratörer inaktiverar spårning av uppladdningsförlopp i sessioner och aktiverar stackspårning vid allvarliga fel i PHP 8.5. De bör också åtgärda programfel som kan orsaka krascher eller tidsgränsöverskridanden och undvika föråldrade inställningar som genererar felmeddelanden innan applikationen har startats ordentligt.
Via BleepingComputer
Följ TechRadar på Google News och lägg till oss som en prioriterad källa för att få våra expertnyheter, tester och analyser direkt i ditt flöde.