PHP מתכננת שחרור אבטחה חירום עבור שתי פגיעויות RCE קריטיות

שחרור חירום נקבע

PHP תשיק שחרור אבטחה מחוץ למחזור בשעה 14:00 UTC ב-21 באוקטובר 2026 עבור שתי פגיעויות קריטיות שצוות האבטחה שלה דירג 9.2 בסולם CVSS v4.0. הפירצות מאפשרות הרצת קוד מרחוק לפי חוקרים ב-watchTowr. עד כה לא דווח על ניצול. רק ארבעת ענפי PHP הנתמכים 8.2 עד 8.5 יכולים לקבל את התיקון. PHP עשויה לשחרר מוקדם יותר אם פרטים יהפכו לציבוריים או אם תופיע עדות לניצול פעיל.

הדליפה גרמה להודעה מוקדמת

ב-20 באוקטובר פוסט ב-Hacker News טען ששתי פירצות הרצת קוד מרחוק ב-PHP שדורגו CVSS 10.0, המשפיעות על גרסאות מ-PHP 5 ואילך, ייחשפו ב-22 באוקטובר. מפרסם הפוסט לא סיפק עדות שניתן לאמת. watchTowr אישר מאוחר יותר שהמידע שדלף היה אמיתי ושהפירצות היו תחת אמברגו. PHP פרסמה את הודעתה המוקדמת ב-20 באוקטובר בשעה 19:33 UTC והזיזה את השחרור ל-21 באוקטובר, יום לפני התאריך שהודלף במקור. הדליפה כללה שני מזהי CVE, והם CVE-2026-109618 ו-CVE-2026-109619, אך הודעת PHP אינה מזכירה אף אחד מהם. הטענה שכל גרסה מאז PHP 5 מושפעת נותרה בלתי מאושרת בהודעה רשמית.

ענפים נתמכים וגרסאות צפויות

PHP מפרסמת תיקונים רק עבור ארבעת הענפים הנתמכים שלה. גרסאות 8.2 ו-8.3 מקבלות רק תיקוני אבטחה עד 31 בדצמבר 2026 ועד 31 בדצמבר 2027, בהתאמה. גרסאות 8.4 ו-8.5 נמצאות בתמיכה פעילה עד 31 בדצמבר 2026 ועד 31 בדצמבר 2027, בהתאמה. גופי מעקב, כולל Alpine Linux והחוקר Kevin Beaumont, מצפים שהתיקונים יופצו כ-PHP 8.5.12, 8.4.27, 8.3.36 ו-8.2.35, אם כי PHP לא אישרה את המספרים. ענפים ישנים יותר מ-8.2, כולל 8.1, 8.0, 7.x ו-5.x, נמצאים בסוף חיים ולא יקבלו תיקון מהספק.

הנחיות צמצום למנהלי מערכות

PHP לא פרסמה פתרון עוקף. מנהלי מערכות צריכים לערוך מלאי של כל התקנת PHP, כולל אלה המשולבות במכשירי ספקים, בתוכנות Windows ובפאנלי בקרה כגון cPanel ו-Plesk. יש להיות מוכנים לשדרוג בשעה 14:00 UTC. יש לתקן תחילה מערכות החשופות לאינטרנט ולבדוק הפצות Linux וספקי אירוח עבור חבילות מיובאות לאחור. בענפים שבסוף חיים: יש לשדרג, להוציא את המערכת מהאינטרנט או להציב אותה מאחורי VPN או חומת יישומי רשת (WAF). CERT-EU ממליצה לבודד יישומים החשופים לאינטרנט מרשתות ציבוריות עד שתיקון יהיה זמין. יש לנטר אחרי php-fpm, php-cgi, httpd או apache2 שמפעילים מעטפות פקודה, מפרשים או כלי הורדה. צופה התהליכים של Florian Roth מתעד כל תוכנית שתהליך PHP מפעיל, אך אינו מונע דבר. אם נמצאה פעילות חשודה: יש לבודד את השרת, לשמור את יומני המערכת ולחפש web shells, קבצים חדשים בשורש האתר, משימות cron חדשות, משימות מתוזמנות וחשבונות. נכון ל-21 באוקטובר לא דווח על ניצול והפירצות אינן מופיעות בקטלוג Known Exploited Vulnerabilities של CISA.

מקורות: The Hacker News · Ars Technica · Php.Net