Kritikus PHP biztonsági frissítés: két távoli kódfuttatási hiba javítva

Október 21-én a PHP fejlesztőcsapata soron kívüli biztonsági kiadást tett közzé: a PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 két kritikus hibát javít. A WordPress.org is külön figyelmeztetésben kérte az oldaltulajdonosokat, hogy mielőbb frissítsenek.

Mi a probléma?

Mindkét hiba (CVE-2026-109618 és CVE-2026-109619) bejelentkezés nélküli távoli kódfuttatást tesz lehetővé, vagyis egy támadó egyetlen kéréssel saját kódot futtathatna a szerveren. A súlyosságuk a CVSS 4.0 skálán 9,2, ez a legmagasabb, „kritikus” kategória.

• Az első hiba a memóriahiány kezelésében van: ha a PHP egy kérés közben kifut a memóriából, a félig előkészített belső adatokat a kérés lezárásakor érvényesnek veheti.
• A második hibánál egy kéréshez tartozó belső állapot a memória felszabadítása után is megmaradhat, és ugyanazon a folyamaton egy későbbi kérés hozzáférhet.

A hiba nem a WordPressben van, hanem magában a PHP-ben, ezért minden webes PHP-alkalmazást érint, a futtatás módjától függetlenül (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). A PHP csapata szerint a mod_php-t használó szervereken a legnagyobb a kockázat.

Mit érdemes most tenned?

• Nézd meg a PHP-verziót: a WordPress-adminban az Eszközök → Webhely egészsége → Információ → Szerver alatt látod.
• Ha régebbi a fenti verzióknál, frissíts, vagy kérd meg a tárhelyszolgáltatódat, hogy tegye meg.
• A PHP 8.2-nél régebbi verziók már nem kapnak hivatalos biztonsági javítást. Ha az oldalad ilyenen fut, a váltás most különösen sürgős.
• WordPress-frissítésre nincs szükség: a javítás kizárólag a PHP-t érinti.

Részletek: a WordPress.org bejelentése és a PHP biztonsági közleménye.

Frissítés

A PHP csapata egy nappal korábban, október 20-án előre jelezte a kiadást és annak pontos időpontját. Ezt kihasználva előre felkészültünk, így a javított verziók megjelenése után néhány percen belül az összes szerverünket frissítettük.