Spragos identifikuojamos kaip CVE-2026–109618 ir CVE-2026–109619. Abiejų jų pavojingumas pagal CVSS v4.0 skalę įvertintas 9,2 balo iš 10. Remiantis šiuo metu turima informacija, pasinaudojęs šiomis spragomis, užpuolikas pažeidžiamoje sistemoje gali savavališkai vykdyti komandas, neatlikęs tapatybės patvirtinimo.
PHP saugumo komanda paskelbė, kad saugumo pataisos bus išleistos trečiadienį 17 val. Lietuvos laiku.
PHP plačiai naudojama interneto programose, tiek viešai prieinamose, tiek vidinėse informacinėse sistemose, taip pat izoliuotose programinės įrangos ekosistemose. Todėl šios spragos kelia didelę grėsmę daugeliui sistemų.
Estijos informacinių sistemų tarnyba (RIA) rekomenduoja paslaugų teikėjams ir sistemų administratoriams kuo greičiau nustatyti visas PHP naudojančias sistemas ir pasirengti nedelsiant įdiegti saugumo pataisas, kai tik jos bus išleistos. Jei sistemų neįmanoma iš karto atnaujinti, reikėtų įgyvendinti laikinas rizikos mažinimo priemones.
Susiję straipsniai
Siekiant pašalinti spragas, PHP naudojančias sistemas būtina atnaujinti, įdiegiant versijas, kuriose su saugumo pataisomis. Konkreti informacija apie pažeidžiamas ir pataisytas versijas bus paskelbta kartu su saugumo atnaujinimu.
Latvijos reagavimo į kibernetinius incidentus tarnyba CERT.LV taip pat paskelbė pranešimą apie šias spragas ir paragino interneto svetainių administratorius nedelsiant įdiegti atnaujinimus, kai tik jie bus pateikti vartotojams.
Reaguojant į šią grėsmę ir siekiant išvengti galimos rizikos, visame pasaulyje laikinai sustabdyta kai kurių interneto svetainių veikla.