Dva propusta u PHP-u mogu omogućiti udaljeno izvršavanje koda kroz web-zahtjev bez prijave. Projekt PHP objavio je ispravke 21. listopada za ranjivosti poznate pod zajedničkim nazivom PHP2Shell.
Problem je u sloju ispod aplikacije. Sigurnosni tim PHP-a navodi da demonstrirani napad na Apacheov mod_php može djelovati prije pokretanja koda same stranice. Nadogradnja sustava za upravljanje sadržajem zato ne zamjenjuje nadogradnju PHP-a.
CVE-2026-109618 odnosi se na obradu nedostatka memorije. Takva pogreška može prekinuti inicijalizaciju podataka zahtjeva, nakon čega postupak čišćenja nevaljane podatke obrađuje kao valjane. Posljedica može biti oštećenje memorije.
CVE-2026-109619 odnosi se na zaostalo unutarnje stanje. Podaci jednog zahtjeva mogu ostati prisutni nakon oslobađanja pripadajuće memorije. Sljedeći zahtjev u istom radnom procesu može pristupiti tom stanju prije njegova pravilnog postavljanja.
PHP među rizičnima navodi instalacije koje obrađuju web-zahtjeve, uključujući PHP-FPM, mod_php, php-cgi, FrankenPHP i LiteSpeed. Demonstrirani put kroz mod_php projekt smatra najrizičnijim.
Ispravljene izvorne verzije su 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Linux distribucije ispravke mogu isporučiti u vlastitim paketima, pa treba provjeriti i obavijest dobavljača.
PHP 8.1 i stariji više nemaju redovitu podršku projekta. Pojedini dobavljači nude prenesene ispravke. Tim je za ovaj slučaj pripremio i minimalne izvorne zakrpe za 7.4, 8.0 i 8.1.
Privremene mjere iz objave pokrivaju pojedine putove napada, ali ne čine instalaciju sigurnom. Potpuno rješenje ostaje nadogradnja.
