Kritične ranljivosti v PHP

Uporabnikom in organizacijam priporočamo, da identificirajo vse spletne aplikacije, ki temeljijo na PHP, in se pripravijo na namestitev popravkov takoj, ko bodo na voljo popravljene različice. Kjer takojšnja odprava napake ni izvedljiva, bi morale organizacije razmisliti o izolaciji spletnih aplikacij iz javnih omrežij, dokler ni mogoče namestiti popravka, oz. o izvedbi drugih mitigacijskih ukrepov, ki bodo preprečili izkoriščanje ranljivosti.

Nekateri viri kot mitigacijski ukrep priporočajo nastavitev parametra session.upload_progress.enabled = Off v konfiguracijski datoteki php.ini, vendar pa ta ukrep po trenutno znanih podatkih ne prepreči izkoriščanja ranljivosti.

Problematične so lahko tudi spletne aplikacije, ki temeljijo na vgrajenem (embedded) PHP-ju. V teh primerih ranljivosti verjetno ne bo možno odpraviti, dokler posamezni proizvajalci ne pripravijo ustreznih rešitev.

Glede na naravo ranljivosti se pričakuje, da bo koda, ki bo izkoriščala ranljivosti (t.i. exploit), na voljo v zelo kratkem času po objavi popravkov. Poleg tega se glede zelo pogosto uporabo PHP v spletnih aplikacijah v naslednjih dneh pričakuje množično skeniranje in izkoriščanje ranljivosti.

LeQuack je 21. okt 2026 ob 20:12 izjavil:

Kdo je UI?

JanBrezov je 22. okt 2026 ob 22:07 izjavil:

Ne bom rekel, da razumem 100%, lahko pa poskusim: PHP pomnilnika ne počisti pravilno, če med obdelavo zahtevka pride do napake. Napadalec, ki to ve, pripravi poseben zahtevek, ki vsebuje upload datoteko (s kodo) in namerno napako. PHP se sesuje, ne počisti upload datoteke, ki ostane v pomnilniku. Nato napadalec naredi nov prilagojen zahtevek, ki povroči, da se od prej naložena vsebina obravnava kot koda in jo izvede. Vse to se zgodi še preden se prične izvajati PHP skripta.

deepsick je 22. okt 2026 ob 21:53 izjavil:

Ta resna pomnilniška napaka poudarja tveganja starejše programske opreme ter napoveduje nov val varnostnih tveganj, ki jih bodo v prihodnje vse lažje razkrivali napredni jezikovni modeli.

deepsick je 22. okt 2026 ob 21:53 izjavil:

1. V pogonskem motorju programskega jezika PHP so s pomočjo umetne inteligence odkrili kritično varnostno ranljivost tipa "uporaba po sprostitvi pomnilnika" (use-after-free), ki napadalcem omogoča oddaljeno izvajanje poljubne kode na številnih spletnih platformah.
2. Ta resna pomnilniška napaka poudarja tveganja starejše programske opreme ter napoveduje nov val varnostnih tveganj, ki jih bodo v prihodnje vse lažje razkrivali napredni jezikovni modeli.

A critical, 22-year-old pre-authentication remote code execution (RCE) vulnerability stemming from a use-after-free memory flaw was discovered in the core PHP runtime. Discovered with the aid of LLMs, the flaw impacts major web infrastructure including WordPress and Drupal, while security researchers warn that early official patches remain incomplete.

bm1973 je 23. okt 2026 ob 15:01 izjavil:

Ta security bug lahko izkoristi mogoče 1 promil računalničarjev. Če...

bm1973 je 23. okt 2026 ob 15:01 izjavil:

deepsick je 22. okt 2026 ob 21:53 izjavil:

1. V pogonskem motorju programskega jezika PHP so s pomočjo umetne inteligence odkrili kritično varnostno ranljivost tipa "uporaba po sprostitvi pomnilnika" (use-after-free), ki napadalcem omogoča oddaljeno izvajanje poljubne kode na številnih spletnih platformah.
2. Ta resna pomnilniška napaka poudarja tveganja starejše programske opreme ter napoveduje nov val varnostnih tveganj, ki jih bodo v prihodnje vse lažje razkrivali napredni jezikovni modeli.

A critical, 22-year-old pre-authentication remote code execution (RCE) vulnerability stemming from a use-after-free memory flaw was discovered in the core PHP runtime. Discovered with the aid of LLMs, the flaw impacts major web infrastructure including WordPress and Drupal, while security researchers warn that early official patches remain incomplete.

Ta security bug lahko izkoristi mogoče 1 promil računalničarjev. Če...

Tako ali tako pa je kultura patchev dostikrat zanemarjena, potem pa cela panika, ko se pojavi nek bug.

Kot takrat tisti log4j bug. Kao preko logginga lahko prideš do podatkov... Takrat je bila po celi Evropi taka panika, kot da bugi hodijo na dom in posiljujejo žene in hčerke...

Ne me jebat, kaj ima nek application server ali baza sploh početi na internetu?!?!?!?!? Četudi je aplikacija na internetu, je pa že ločena od interne mreže, kjer do internih podatkov dostopaš z zelo omejenimi pravicami in protokoli in preko firewalow. In connection potrjen s certifikatom...

Plus kak bastion server, ki ša dodatno zaščiti vse skupaj...

Če osnovna varnostna infrastruktura šefa, ima firma večji problem...

joez7 je 30. okt 2026 ob 13:57:52 izjavil:

Jim je za verjet?
"Vpliv ranljivosti PHP2Shell na naše izdelke in storitve
Najlepša hvala za vašo nadaljnjo uporabo izdelkov in storitev TP-Link.
Preučili smo vpliv ranljivosti PHP (CVE-2026-109618 in CVE-2026-109619, splošno znana kot "PHP2Shell"), ki je bila objavljena 21. oktobra 2026, na naše izdelke in storitve.
Zaradi tega smo potrdili, da izdelki in storitve TP-Link, vključno z Archer, Deco, Tapo, Omada in VIGI, niso prizadeti zaradi te ranljivosti.
V preverjanje so vključeni naslednji podatki:
Funkcije upravljanja spletnih strani, vgrajene v sam izdelek
Oblačne storitve TP-Link
Ker naši izdelki in storitve ne uporabljajo PHP, ta ranljivost ni prizadeta.
Še naprej si bomo prizadevali zagotoviti varnost, da bodo naše stranke lahko naše izdelke in storitve uporabljale z mirnostjo.
TP Link Japan Co., Ltd. 23. oktober 2026"