Il-vulnerabbiltajiet, ittraċċati bħala CVE-2026-109618 u CVE-2026-109619, jistgħu jippermettu lill-aggressuri jeżegwixxu mill-bogħod kodiċi malizzjuż fuq servers vulnerabbli mingħajr awtentikazzjoni. It-tim tas-sigurtà tal-PHP ħareġ aġġornamenti fil-21 ta’ Ottubru 2026 fis-13:40 UTC. Id-dettalji tekniċi sħaħ ta’ dawn l-aġġornamenti, kif ukoll il-verżjonijiet affettwati u fissi jakkumpanjaw ir-rilaxx.
Il-konsulenza dwar is-sigurtà tal-PHP tista’ tinstab fuq: https://www.php.net/archive/2026.php
L-organizzazzjonijiet għandhom jidentifikaw l-applikazzjonijiet tagħhom ibbażati fuq il-PHP, jikkoordinaw mal-fornituri tal-hosting u tas-servizzi, u japplikaw l-aġġornamenti tas-sigurtà rilaxxati. Tingħata prijorità lis-sistemi li jħarsu lejn l-internet. Meta r-rimedju immedjat ma jkunx fattibbli, ikkunsidra li tiżola l-applikazzjonijiet esposti min-networks pubbliċi sakemm ikunu jistgħu jiġu applikati t-tiswijiet.
Ħafna prodotti kummerċjali u b’sors miftuħ jiddependu fuq il-PHP fl-isfond. B’riżultat ta’ dan, xi wħud jistgħu jiġu affettwati minn dawn il-vulnerabbiltajiet anki jekk ma jidhrux li jużaw il-PHP direttament. Nirrakkomandaw li jiġi vverifikat ir-repożitorju NCSC-NL GitHub għal informazzjoni dwar software ta’ parti terza li jinkludi PHP u li jista’ jiġi affettwat: https://github.com/NCSC-NL/php2shell
L-aħħar avviżi ppubblikati mill-membri tan-Network tas-CSIRTs jistgħu jinstabu fil-kanali ta’ komunikazzjoni uffiċjali rilevanti tagħhom. L-organizzazzjonijiet jistgħu jirreferu wkoll għall-gwida mogħtija mis-CERT-UE. L-ENISA żżomm ġabra konsultattiva taħt: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
L-ENISA u l-atturi rilevanti kollha tal-UE se jkomplu jimmonitorjaw din it-theddida biex jikkontribwixxu għall-għarfien ġenerali tas-sitwazzjoni fil-livell tal-Unjoni.
Politika tal-UE
L-organizzazzjonijiet għandhom ikunu konxji wkoll li mill-11 ta’ Settembru 2026, il-manifatturi tal-prodotti tal-hardware u tas-software jridu jirrapportaw vulnerabbiltajiet sfruttati b’mod attiv permezz tal-pjattaforma Unika ta’ Rapportar tas-CRA, f’konformità mar-Regolament (UE) 2024/2847 (l-Att dwar ir-Reżiljenza Ċibernetika). Aktar informazzjoni hija disponibbli fuq: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting u https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Ir-rekwiżiti ewlenin taċ-ċibersigurtà tal-Att dwar ir-Reżiljenza Ċibernetika (CRA) se japplikaw mill-11 ta’ Diċembru 2027. Dawn se jirrikjedu li l-manifatturi ta’ prodotti tal-hardware u tas-software (“prodotti b’elementi diġitali”) jimplimentaw is-sigurtà mid-disinn u jiżguraw appoġġ għas-sigurtà matul iċ-ċiklu tal-ħajja ta’ tali prodotti, inkluż ir-rimedju tal-vulnerabbiltajiet mingħajr dewmien.
Last update
22 Ottubru 2026