Două vulnerabilități critice PHP pot permite execuție de cod neautentificată. Actualizarea mediului PHP este prioritară pe orice site public.
La 21 octombrie 2026, proiectul PHP a publicat remedieri pentru CVE-2026-109618 și CVE-2026-109619. Ambele pot permite execuție de cod de la distanță, iar în anumite configurații cererea poate fi neautentificată. Pentru hosting, actualizarea PHP-ului care servește site-urile este o prioritate operațională, nu o îmbunătățire opțională.
Ce versiuni conțin remedierile
Versiunile anunțate sunt PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35. Verifică și buletinul distribuției sau al panoului: un pachet Linux poate integra remedierea într-o revizie de pachet fără să coincidă exact cu numărul proiectului.
php -v
php-fpm -v 2>/dev/null || trueRulează comenzile în mediul care deservește site-ul. Versiunea din CLI poate diferi de PHP-FPM sau de selectorul din cPanel.
De ce riscul este ridicat pe web
Fundatia PHP și CERT descriu scenarii în care coruperea memoriei apare în gestionarea limitelor de memorie și a stării globale a lucrătorului. Configurațiile cu mod_php sunt considerate printre cele mai expuse, dar PHP-FPM și alte moduri de execuție web rămân în domeniul de aplicare.
Nu există o mitigare completă documentată în locul actualizării. Izolarea temporară a aplicațiilor expuse este o măsură de urgență, nu un înlocuitor al patch-ului.
Ce faci pe hosting sau VPS
- Inventariază versiunile PHP pentru fiecare domeniu și cont.
- Actualizează prin panou, remi sau pachetele distribuției, conform procedurii deja folosite.
- Repornește PHP-FPM sau serviciul web după instalare.
- Confirmă versiunea din procesul activ, nu doar dintr-un terminal.
- Urmărește erorile aplicației după schimbare.
Pentru PHP 8.1 sau mai vechi, proiectul PHP nu mai oferă actualizări oficiale complete. Cere remedierea de la furnizorul LTS sau planifică migrarea pe o ramură suportată.
Separă actualizarea de investigație
Aplicarea remedierii nu șterge un acces obținut anterior. Dacă apar indicii de compromitere, tratează incidentul separat: loguri, conturi, cron-uri și fișiere necunoscute.
Pentru site-uri pe XSERVERE, clarifică cine gestionează selectorul PHP și când a fost aplicată ultima revizie. Notează versiunea verificată și data controlului.
Ți-a fost util acest articol?