Michael Johnson21. oktober 2026 varslet PHP om to kritiske sårbarheter som kan gjøre det mulig å kjøre kode eksternt uten autentisering. Samme dag ga prosjektet ut rettelser for versjonsgrenene 8.5, 8.4, 8.3 og 8.2, og anbefalte brukerne å oppdatere umiddelbart. Installasjoner som håndterer webforespørsler, kan være sårbare. Dette omfatter PHP-FPM, Apache mod_php, php-cgi, FrankenPHP og LiteSpeed, opplyser PHP.
Versjonene med rettelser er PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35. Utgivelsene retter CVE-2026-109618, som er knyttet til tilstandskorrupsjon ved minnemangel, og CVE-2026-109619 – en feil der tilstanden fra én forespørsel kunne bli værende i en arbeiderprosess og brukes under behandlingen av den neste. Versjoner eldre enn de oppførte er berørt. Prosjektet leverer ikke lenger egne oppdateringer for PHP 8.1 og eldre versjonsgrener. Administratorer for slike systemer bør derfor undersøke om distributøren eller en LTS-leverandør tilbyr rettelser.
To feil i livssyklusen til webforespørsler
Ved CVE-2026-109618 kan behandlingen av en forespørsel avbrytes på grunn av minnemangel før interne data er fullstendig initialisert. Når PHP avsluttes, kan det deretter få tilgang til en ugyldig tilstand. I sikkerhetsmeldingen beskriver utviklerne blant annet scenarioer med multipart-forespørsler og overskridelse av minnegrensen. For Apache mod_php er det bekreftet et scenario der problemet oppstår før applikasjonskoden starter. PHP påpeker også at risikoen er høyere for denne konfigurasjonen.
CVE-2026-109619 berører tilstand som arbeiderprosessen lagrer mellom forespørsler. Hvis en operasjon mislykkes før dataene er ryddet opp, frigjøres minnet som ble brukt av den forrige forespørselen, mens en peker til det fortsatt ligger igjen. Den neste forespørselen som havner i samme prosess, kan få tilgang til den foreldede tilstanden før den vanlige initialiseringen. I prosjektets sikkerhetsmelding beskriver PHP bekreftede angrepsveier via tidlige diagnostikkoperasjoner og håndtering av fremdrift ved filopplasting. Om en bestemt angrepsvei er relevant, avhenger av konfigurasjonen, applikasjonen og utvidelsene som brukes.
Begge sårbarhetene har fått en CVSS 4.0-poengsum på 9,2. Ifølge PHP omfatter den bekreftede konsekvensen kjøring av kode med webarbeiderens rettigheter. For feilen knyttet til minnemangel bekrefter sikkerhetsmeldingen et fullstendig HTTP-angrepsscenario mot mod_php. For PHP-FPM beskriver kilden kodeanalyse og betingelser for sårbarhet, så dette skillet er viktig når den konkrete utrullingen vurderes.
Dette bør administratorer kontrollere
Finn først ut hvilke PHP-versjoner som faktisk håndterer webtrafikken. På én server kan det kjøre separate CLI-, FPM- og Apache-bygg, og containere og klyngenoder oppdateres uavhengig av hverandre. Installer den tilhørende rettede utgaven for hver støttet versjonsgren, eller en leverandørpakke med bekreftet rettelse. Start deretter alle PHP-arbeiderne på nytt, og kontroller versjonen etter omstart – hvis filene byttes ut uten at prosessene startes på nytt, fortsetter de gamle prosessene å kjøre.
For PHP 8.1 og eldre bør du undersøke støttestatus og om distributøren eller en LTS-leverandør tilbyr en tilbakeportert rettelse. Hvis ingen slik pakke finnes, bør du planlegge overgang til en støttet versjonsgren. PHP opplyser at leverandører av Linux-distribusjoner fikk rettelsene på forhånd. Pakkenummeret deres kan avvike fra den offisielle PHP-utgivelsen, så kontroller konkret om rettelsen er inkludert.
Midlertidige innstillinger og filtrering av forespørsler kan redusere enkelte angrepsveier, men prosjektet omtaler oppdatering som den eneste fullstendige måten å rette begge problemene på. For team bør prioriteringen være å kartlegge alle webarbeidere, installere den rettede pakken, starte prosessene på nytt og kontrollere resultatet på hver node. Det er dette som lukker de bekreftede sårbarhetene, i stedet for å stole utelukkende på konfigurasjonen av webserveren.