Neaizsargātības, kas izsekotas kā CVE-2026-109618 un CVE-2026-109619, var ļaut uzbrucējiem attālināti izpildīt ļaunprātīgu kodu neaizsargātos serveros bez autentifikācijas. PHP drošības komanda izdeva atjauninājumus 2026. gada 21. oktobrī plkst. 13.40 UTC. Pilnīga tehniskā informācija par šiem atjauninājumiem, kā arī ietekmētās un fiksētās versijas ir pievienotas laidienam.
PHP drošības konsultācijas var atrast: https://www.php.net/archive/2026.php
Organizācijām jāidentificē savas uz PHP balstītās lietojumprogrammas, jākoordinē darbība ar mitināšanas un pakalpojumu sniedzējiem un jāpiemēro izlaistie drošības atjauninājumi. Par prioritāti noteikt uz internetu vērstas sistēmas. Ja tūlītēja atveseļošana nav iespējama, apsveriet iespēju izolēt eksponētos lietojumus no publiskajiem tīkliem, līdz var piemērot labojumus.
Daudzi komerciāli un atvērtā pirmkoda produkti paļaujas uz PHP fonā. Tā rezultātā dažas no tām var ietekmēt šīs ievainojamības, pat ja šķiet, ka tās tieši neizmanto PHP. Mēs iesakām pārbaudīt NCSC-NL GitHub repozitoriju, lai iegūtu informāciju par trešo pušu programmatūru, kas ietver PHP un var tikt ietekmēta: https://github.com/NCSC-NL/php2shell
Jaunākie CSIRT tīkla dalībnieku publicētie ieteikumi ir pieejami to attiecīgajos oficiālajos saziņas kanālos. Organizācijas var arī atsaukties uz CERT-EU sniegtajiem norādījumiem. ENISA uztur konsultatīvu kolekciju: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
ENISA un visi attiecīgie ES dalībnieki turpinās uzraudzīt šo apdraudējumu, lai veicinātu vispārējo situācijas apzināšanos Savienības līmenī.
ES politika
Organizācijām būtu arī jāapzinās, ka no 2026. gada 11. septembra aparatūras un programmatūras produktu ražotājiem ir jāziņo par aktīvi izmantotām ievainojamībām, izmantojot KRA vienoto ziņošanas platformu saskaņā ar Regulu (ES) 2024/2847 (Kibernoturības akts). Plašāka informācija ir pieejama: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting un https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Kibernoturības akta galvenās kiberdrošības prasības tiks piemērotas no 2027. gada 11. decembra. Tas prasīs aparatūras un programmatūras produktu (“produkti ar digitāliem elementiem”) ražotājiem ieviest integrētu drošību un nodrošināt drošības atbalstu šādu produktu aprites ciklā, tostarp nekavējoties novērst ievainojamības.
Last update
22 -OKT- 2026