Vulnerabbiltajiet kritiċi fil-PHP (CVE-2026-109618 u CVE-2026-109619): x'ġara u x'għandek tagħmel

Fil-21 ta' Ottubru 2026 il-proġett PHP ħareġ korrezzjonijiet għal żewġ vulnerabbiltajiet kritiċi, u CERT-EU ippubblika l-avviż 2026-018 fl-istess jum. It-tnejn huma ikklassifikati b'9,2 u t-tnejn huma deskritti bħala eżekuzzjoni tal-kodiċi mill-bogħod mingħajr awtentikazzjoni. Jekk inti tħaddem sit tal-WordPress, ħanut onlajn jew applikazzjoni oħra tal-PHP, dan jikkonċernak, u r-rimedju huwa aġġornament, mhux issettjar. Dan l-artikolu jispjega x'inhu magħruf, kif l-attakk jidħol u x'għandek tagħmel. Sitwazzjoni fit-22 ta' Ottubru 2026, abbażi tal-verżjoni 1.1 tal-avviż ta' CERT-EU.

X'ġara

PHP ħabbar verżjoni ta' sigurtà fl-20 ta' Ottubru u ppubblika l-korrezzjonijiet fil-21 ta' Ottubru fis-13:30 UTC. CERT-EU taha lill-avviż tiegħu t-titlu “Critical Vulnerabilities in PHP” u jelenka żewġ CVE: CVE-2026-109618 u CVE-2026-109619, kull waħda bi klassifikazzjoni ta' 9,2. CERT-EU jikteb ukoll li d-dettalji tekniċi issa qed jiġu diskussi pubblikament u li l-ewwel kodiċi ta' turija tal-attakk (proof of concept) beda jiċċirkola. L-avviż ma jikkonfermax attakki fil-livell tal-użu reali, imma jgħid li b'hekk isir aktar probabbli li l-attakkanti diġà qed jisfruttaw il-vulnerabbiltajiet. Ittratta dan bħala urġenti.

Min huwa milqut

Milquta hija kull verżjoni tal-PHP taħt dik korretta f'fergħa appoġġjata, u kull fergħa li laħqet it-tmiem tal-ħajja tagħha.

CERT-EU jsemmi PHP-FPM, Apache bi mod_php, php-cgi, FrankenPHP u LiteSpeed. Skont it-tim tal-PHP, mod_php iġorr l-akbar riskju. Prodotti li jinkorporaw il-PHP jistgħu jiġu milquta wkoll; CERT-EU jirreferi għal dan għal lista tal-NCSC Olandiż fl-aħħar ta' dan l-artikolu. Kull installazzjoni li taqdi talbiet tal-web tgħodd, kemm jekk għandha formola tal-upload kif ukoll jekk le.

Kif attakkant jilħaq l-ewwel vulnerabbiltà

Hadd ma jrid jagħmel login. Skont CERT-EU, attakk muri juri li talba waħda mingħajr awtentikazzjoni biżżejjed biex tkun attivata l-attakk, qabel ma jaħdem xi kodiċi tal-applikazzjoni. Dan huwa l-punt li l-biċċa l-kbira tan-nies jitilfu: ma jimpurtax jekk il-WordPress tiegħek huwiex aġġornat, jekk il-plugins tiegħek humiex ippaċjati jew jekk il-formola tal-kuntatt tiegħek hijiex protetta. It-talba tilħaq l-ewwel il-magna tal-PHP.

L-ewwel vulnerabbiltà, CVE-2026-109618, taħdem hekk:

1. Talba tasal f'indirizz li l-PHP jaqdi. L-ebda login, l-ebda kont.
2. Il-PHP jibda jaqra l-kontenut tat-talba. CERT-EU jsemmi bħala eżempju l-ipproċessar ta' uploads ta' fajls minn formoli.
3. Il-PHP jinforza l-memory_limit tiegħu bi longjmp(). Meta l-limitu jinqabeż, jaqbeż barra minn dak li kien qed jagħmel u jtemm it-talba.
4. Jekk dan jiġri f'nofs il-bini tad-data interna tat-talba, din id-data tkun mibnija nofs biss.
5. It-tindif li jiġi wara jittratta d-data invalida bħala valida u jeħles memorja li qatt ma tnediet. Din il-memorja xorta tista' żżomm data minn allokazzjonijiet preċedenti li kienu taħt il-kontroll tal-attakkant.
6. Minn hemm, l-avviż jiddeskrivi eżekuzzjoni tal-kodiċi fuq is-server.

Bilfors ma niddeskrivux kif attakkant jidderiġi l-aħħar pass. Biżżejjed tkun taf li l-punt tad-dħul mhuwiex l-applikazzjoni tiegħek, u għalhekk xejn ġewwa l-applikazzjoni tiegħek ma jista' jwaqqfu.

It-tieni vulnerabbiltà: stat li jgħix aktar mill-memorja tiegħu

CVE-2026-109619 huwa mekkaniżmu differenti bl-istess riżultat. Il-PHP iżomm stat intern għal kull talba. Wara ċerti fallimenti, bħal żball fatali, dan l-istat jista' jibqa' għalkemm il-memorja ta' taħtu tkun ġiet meħlusa. It-talba li jmiss li jaqdi l-istess proċess tax-xogħol tista' mbagħad tuża dan l-istat skaduti qabel ma jiġi rrisettjat bil-mod normali. L-attakkant għandu bżonn żewġ talbiet li jaslu fl-istess proċess tax-xogħol; CERT-EU jikklassifika r-riżultat bħall-ewwel vulnerabbiltà: eżekuzzjoni tal-kodiċi mill-bogħod.

X'għandek tagħmel illum

1. Sib liema verżjoni tal-PHP tassew taqdi s-sit tiegħek. php -v fil-linja tal-kmand juri l-verżjoni tal-linja tal-kmand, li tista' tkun differenti minn dik tas-server tal-web tiegħek. Iċċekkja php-fpm -v, il-pannell tal-hosting tiegħek jew paġna li ssejjaħ phpinfo(). F'hosting kondiviż, staqsi lill-fornitur tiegħek.
2. Aġġorna għal verżjoni korretta: 8.5.12, 8.4.27, 8.3.36 jew 8.2.35. Id-distribuzzjonijiet spiss jerġgħu jġibu l-korrezzjonijiet mingħajr ma jbiddlu n-numru tal-verżjoni; għalhekk fittex in-numri tas-CVE fl-avviż tas-sigurtà tal-fornitur tiegħek. Fil-kontejners, ibni mill-ġdid minn immaġni bażi aġġornata. It-tim tal-PHP josserva li rpms.remirepo.net ma kellu l-ebda aġġornament fil-jum tal-pubblikazzjoni u jirrakkomanda pakketti tad-distribuzzjoni jew bini mill-kodiċi sors.
3. Erġa' ibda kull proċess tax-xogħol tal-PHP. Aġġornament fuq id-disk ma jbiddel xejn fi proċessi li diġà qed jaħdmu. Erġa' ibda PHP-FPM jew is-server tal-web u mbagħad iċċekkja l-verżjoni li qed taħdem għal darb'oħra.
4. Jekk ma tistax taġġorna illum, iżola s-server minn netwerks pubbliċi sakemm il-korrezzjoni tkun daħlet u ċċekkjata. CERT-EU huwa ċar: aġġornament biss jirranġa dawn il-vulnerabbiltajiet għalkollox.
5. Jekk qed tuża PHP 8.1 jew eqdem, itlob lill-fornitur tiegħek għall-backport jew aqleb għal fergħa appoġġjata. Dawn il-verżjonijiet ma jirċevux aġġornamenti regolari.

Miżuri temporanji li jnaqqsu r-riskju imma ma jirranġawx

CERT-EU jelenka miżuri li jagħmlu l-attakk aktar diffiċli. L-avviż jgħid espliċitament li ma jagħmlux installazzjoni sigura. Uża dawn waqt li tipprepara l-aġġornament, mhux flok dan.

• Kontra CVE-2026-109618: issettja memory_limit=-1 b'mod li l-applikazzjonijiet ma jistgħux jegħlbuh, pereżempju b'php_admin_value fil-pool tal-FPM, u kkonferma li l-ebda daħla ta' pool, direttorju jew applikazzjoni ma terġa' tissettja limitu finit. Issettja post_max_size baxx (8M mingħajr uploads, 32M magħhom) u żomm upload_max_filesize taħtu. Illimita d-daqs tat-talba, l-għadd ta' kampijiet, il-partijiet multipart, l-għadd ta' headers u l-fond tal-inkaljar fis-server tal-web jew fil-proxy. Uża limitu tal-memorja tal-kontejner jew tal-cgroup bħala fruntiera tad-disponibbiltà, imma mhux RLIMIT_AS jew RLIMIT_DATA, li jistgħu jikkawżaw il-falliment vulnerabbli tal-allokazzjoni.
• Kontra CVE-2026-109619: issettja session.upload_progress.enabled=0 fil-php.ini, fil-pool tal-FPM jew f'konfigurazzjoni tas-server li tapplika qabel l-analiżi tat-talba (mhux b'ini_set() jew .user.ini), u erġa' ibda l-proċessi kollha tax-xogħol. Fuq PHP 8.5 issettja wkoll fatal_error_backtraces=0. Neħħi l-issettjar invalidu jew skadut għal kull talba li jittanta dijanjostiċi qabel l-inizjalizzazzjoni, u rranġa żbalji fatali u skadenzi tal-ħin tal-eżekuzzjoni li attakkant jista' jilħaq.

X'jista' u x'ma jistax jagħmel SilentShield hawn

Dan mhuwiex problema ta' bots, u aħna nippreferu ngħidu hekk milli nħallu paġna tal-prodott tagħti x'tifhem xi ħaġa oħra. L-attakk jolqot il-magna tal-PHP qabel ma xi ħaġa tagħna, CAPTCHA, plugin jew regola ta' firewall ġewwa l-applikazzjoni tiegħek tara t-talba. Ħarsien kontra l-bots fuq formola ma jwaqqafx l-attakk, u ħadd m'għandu jgħidlek li jwaqqaf. L-unika soluzzjoni sħiħa hija l-aġġornament tal-PHP.

L-API u d-dashboard ta' SilentShield mhumiex miktubin bil-PHP. Il-plugin tal-WordPress u l-PHP SDK jaħdmu fil-PHP tiegħek stess, għalhekk għalihom l-aġġornament irid isir fuq is-server tiegħek. Wara l-aġġornament, il-ħarsien tas-soltu kontra l-bots u l-ispam tal-formoli huwa utli daqs qabel; sempliċement qatt ma kien it-tweġiba għal din il-problema.

Sorsi

• CERT-EU Security Advisory 2026-018: Critical Vulnerabilities in PHP
• Tħabbira tal-PHP tal-20 ta' Ottubru 2026
• GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• NCSC-NL php2shell: prodotti li jinkorporaw il-PHP