PHP heeft twee kritieke kwetsbaarheden gepatcht die ongeauthentiseerde remote code execution mogelijk maken; onmiddellijke update wordt aanbevolen.
De beheerders van PHP hebben updates uitgebracht voor versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35 die twee kritieke kwetsbaarheden verhelpen. Deze kwetsbaarheden kunnen een ongeauthentiseerde aanvaller in staat stellen om op afstand code uit te voeren zonder dat daarvoor authenticatie vereist is. Alle gebruikers van PHP worden dringend geadviseerd om hun systemen direct te updaten.
Alle PHP-installaties die webverzoeken verwerken lopen risico, waaronder PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed. Het hoogste risico geldt voor mod_php, waar een exploit is gedemonstreerd die een aanval mogelijk maakt via een ongeauthentificeerd verzoek voordat enige applicatiecode wordt uitgevoerd. De eerste kwetsbaarheid betreft remote code execution via out-of-memory corruptie, geregistreerd als CVE-2026-109618. Hierbij kan de afhandeling van een out-of-memory situatie PHP onderbreken terwijl interne verzoekgegevens slechts gedeeltelijk zijn geïnitialiseerd, waardoor ongeldige data als geldig wordt behandeld tijdens het opruimen van het verzoek. De tweede kwetsbaarheid, CVE-2026-109619, betreft remote code execution via verouderde globale status. Interne status die aan een verzoek is gekoppeld kan blijven bestaan nadat het geheugen is vrijgegeven, waardoor een volgend verzoek dat door dezelfde worker wordt afgehandeld deze verouderde status kan gebruiken voordat een normale herinitialisatie plaatsvindt. Het updaten van PHP is de enige manier om de beveiliging te herstellen.
