Pažeidžiamumas, stebimas kaip CVE-2026-109618 ir CVE-2026-109619, gali leisti užpuolikams nuotoliniu būdu vykdyti kenkėjišką kodą pažeidžiamuose serveriuose be autentifikavimo. PHP saugumo grupė atnaujinimus paskelbė 2026 m. spalio 21 d. 13.40 val. (UTC). Išleidimo metu pateikiama išsami techninė informacija apie šiuos naujinimus, taip pat paveiktas ir fiksuotas versijas.
PHP saugumo patarimus galima rasti adresu: https://www.php.net/archive/2026.php
Organizacijos turėtų nustatyti savo PHP pagrįstas taikomąsias programas, koordinuoti veiksmus su prieglobos ir paslaugų teikėjais ir taikyti išleistus saugos naujinimus. Pirmenybę teikti į internetą orientuotoms sistemoms. Jei neatidėliotinas ištaisymas neįmanomas, apsvarstykite galimybę izoliuoti paveiktas taikomąsias programas nuo viešųjų tinklų, kol bus galima taikyti pataisymus.
Daugelis komercinių ir atvirojo kodo produktų fone remiasi PHP. Dėl to kai kurie gali būti paveikti šių pažeidžiamumų, net jei neatrodo, kad jie tiesiogiai naudoja PHP. Rekomenduojame patikrinti NCSC-NL GitHub saugyklą, kad gautumėte informacijos apie trečiųjų šalių programinę įrangą, kurioje yra PHP ir kuri gali būti paveikta: https://github.com/NCSC-NL/php2shell
Naujausius CSIRT tinklo narių paskelbtus patarimus galima rasti jų atitinkamuose oficialiuose komunikacijos kanaluose. Organizacijos taip pat gali remtis CERT-EU pateiktomis gairėmis. ENISA tvarko patariamąją kolekciją šiuo adresu: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
ENISA ir visi atitinkami ES subjektai toliau stebės šią grėsmę, kad prisidėtų prie bendro informuotumo apie padėtį Sąjungos lygmeniu.
ES politika
Organizacijos taip pat turėtų žinoti, kad nuo 2026 m. rugsėjo 11 d. aparatinės ir programinės įrangos produktų gamintojai turi pranešti apie aktyviai išnaudojamus pažeidžiamumus per KRA bendrą pranešimų teikimo platformą pagal Reglamentą (ES) 2024/2847 (Kibernetinio atsparumo aktą). Daugiau informacijos galima rasti adresu https://digital-strategy.ec.europa.eu/en/policies/cra-reporting ir https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Pagrindiniai Kibernetinio atsparumo akto kibernetinio saugumo reikalavimai bus taikomi nuo 2027 m. gruodžio 11 d. Tam reikės, kad aparatinės ir programinės įrangos produktų (toliau – produktai su skaitmeniniais elementais) gamintojai įgyvendintų integruotąjį saugumą ir užtikrintų paramą saugumui per visą tokių produktų gyvavimo ciklą, įskaitant neatidėliotiną pažeidžiamumų pašalinimą.
Last update
22 Spalis 2026