PHP-le ilmusid kriitilised turvauuendused – soovitatav kohe uuendada!

[spott]

Välja on antud PHP versioonid 8.5.12, 8.4.27, 8.3.36 ja 8.2.35, mis parandavad kaks kriitilist turvaauku. Mõlemad haavatavused võivad võimaldada ründajal käivitada serveris pahatahtlikku koodi (RCE) ilma autentimiseta.

Haavatavused puudutavad kõiki veebipäringuid teenindavaid PHP paigaldusi, sealhulgas PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ja LiteSpeed. Kõige suuremaks hinnatakse riski Apache mod_php kasutamisel.

Parandatud turvaaugud:

• CVE-2026-109618 – mälupuuduse käsitlemisel tekkiv mälurike.
• CVE-2026-109619 – vabastatud mälule viitava globaalse oleku taaskasutamine.

Kõigil PHP kasutajatel soovitatakse esimesel võimalusel uuendada!

PHP 8.1 ja vanemad versioonid enam ametlikke turvauuendusi ei saa, kuid mõne Linuxi distributsiooni või LTS-teenusepakkuja kaudu võivad parandused siiski saadaval olla.

Kui kohene uuendamine pole võimalik, saab teatud seadistustega riske vähendada, kuid need ei asenda turvauuendust.

Lisainfo ja allalaadimine:

• PHP ametlik allalaadimisleht
• CVE-2026-109618 – turvateade
• CVE-2026-109619 – turvateade

[imre]

https://www.php.net/

Lehel on ka workaround'id olemas kui ei riski ära oodata millal ametlikud uuendused tulevad.
Repode sünk võtab päris palju aega, pahalased võivad enne jaole saada ja tasub workaround'id lisada.