Dwie podatności RCE w linii PHP 8.x
Wydane aktualizacje dla gałęzi PHP 8.x eliminują dwie luki pozwalające na zdalne wykonanie kodu (RCE). Rzeczywista ocena podatności w skali CVSS wynosi 9,2, chociaż we wstępnych doniesieniach błędnie podawano wartość 10,0.
Wyciek informacji przyspieszył publikację poprawek
Według komunikatu PHP Foundation pierwotny harmonogram zakładał publikację łatek 22 października 2026 roku o godzinie 14:00 UTC. Plany uległy zmianie po tym, jak 20 października około godziny 15:00 UTC numery CVE trafiły na fora internetowe i do mediów społecznościowych bez szczegółów technicznych.
W odpowiedzi projekt PHP przyspieszył komunikat wstępny i przeniósł wydanie na 21 października na godzinę 14:00 UTC. Około godziny 20:00 UTC firma Calif, która zgłosiła problemy, omyłkowo opublikowała film prezentujący działający dowód koncepcji (PoC). Po usunięciu nagrania jego kopie zaczęły krążyć w mediach społecznościowych, co przyczyniło się do przyspieszenia prac nad dowodami koncepcji, które zaczęły krążyć 21 października.
Harmonogram odkrycia i zgłoszenia luki
Pierwszą podatność wykrył zespół Wiz Research 19 sierpnia 2026 roku przy użyciu Wiz Atlas, Gemini 4 Argon oraz GPT-5.6 Sol:
- 20 sierpnia potwierdzono zdalne wykonanie kodu bez uwierzytelnienia w systemie Drupal,
- 21 sierpnia potwierdzono zdalne wykonanie kodu bez uwierzytelnienia w systemie WordPress.
Wiz Research przekazał zgłoszenie do zespołu bezpieczeństwa PHP 24 sierpnia. Projekt PHP potwierdził raport 21 września i rozpoczął koordynację prac nad poprawkami, które udostępniono publicznie 21 października.
