Svarbi informacija apie 2026 m. spalio 21 d. planuojamą PHP programinės įrangos atnaujinimą

PHP projekto komanda praneša, kad šiandien, spalio 21 dieną, 17:00 val. Lietuvos laiku bus išleisti dviejų kritinių spragų CVE-2026-109618 ir CVE-2026-109619 pataisymai. Rekomenduojame įvertinti savo infrastruktūrą, kuri naudoja PHP programinį kodą – interneto svetaines ir žiniatinklio programas – ir nedelsiant sudiegti išleistus pataisymus.

Papildomai PHP gali būti naudojamas ir trečiųjų šalių programinėje įrangoje – tokiu atveju, reikėtų įdiegti atnaujinimus pagal gamintojo pateiktas rekomendacijas.

Pažeidžiamos versijos – PHP5 ir naujesnės.

Neištaisytos kritinės spragos gali leisti neautentifikuotiems naudotojams vykdyti savo pateiktą programinį kodą (angl. RCE).

Papildomi veiksmai, kuriuos galima atlikti, kol bus išleistas atnaujinimas:

• Stebėti PHP programas su tikslu pastebėti vykstantį pažeidžiamumo išnaudojimą - sukuriami nestandartiniai procesai, vykdomos sisteminės komandos, pradėtos sesijos į nežinomus IP adresus.
• Vieši šaltiniai nurodo, jog galima apsunkinti šių pažeidžiamumų išnaudojimą apribojant naudotojams galimybę siųsti HTTP POST užklausas, kurių pateikiamų duomenų tipas yra multipart/form-data. Įsivertinti galimybę tokias užklausas apriboti ar visiškai uždrausti žiniatinklio serveryje arba pasitelkiant žiniatinklio aplikacijos ugniasienę (angl. WAF).
   

Daugiau informacijos:

https://www.php.net/index.php#2026-10-20-1

ATNAUJINTA 17:00 VAL.

PHP programinės įrangos atnaujinimas yra jau pasiekiamas, raginame nedelsiant jį įdiegti. Atnaujinimą ir diegimo instrukcijas rasite PHP svetainėje: https://www.php.net

Jei atnaujinimų negalite iš karto įdiegti – PHP komanda pateikė papildomus žingsnius, kaip galima sumažinti pažeidžiamumų išnaudojimo tikimybę. Tačiau pilnai panaikinti riziką galima tik įdiegus saugumo atnaujinimą.

Jei Jūsų infrastruktūroje yra naudojama nebepalaikoma PHP versija, kuriai nėra saugumo atnaujinimų – ją reikia izoliuoti nuo interneto ir įsivertinti galimybes migruoti į palaikomą versiją.