Elavult globális állapotból eredő távoli kódfuttatás a PHP-ben (CVE-2026-109619)

Mi történt

A CVE-rekord egy elavult globális állapottal kapcsolatos hibát ír le, amelyben a globális állapot átmenetileg a kérésmemóriába mutat. Egyes esetekben ez az állapot nem áll vissza megfelelően, vagy a visszaállítás után újra feltöltődik, és a kérésmemória felszabadítása után is hivatkozhat rá. A későbbi kérések olvashatják ezt az elavult állapotot, vagy az alapján ágazhatnak el, még mielőtt az teljesen inicializálódna. Többféle módszer is kiválthatja ezt az állapotot, és távoli kódfuttatást eredményezhet.

A CVSS 4.0 pontszám 9,2 (kritikus); a támadási vektor hálózati, a kihasználáshoz nincs szükség jogosultságra és felhasználói beavatkozásra, a támadás összetettsége pedig magas. A CISA 2026. október 26-án felvette a hibát a Known Exploited Vulnerabilities (KEV) katalógusába, és kihasználtként tartja nyilván. A BOD 26-04 szerinti kötelező intézkedés CISA által megadott határideje 2026. október 29.

Kit érint

A PHP négy kiadási sorozata érintett: a 8.2.* verziók a 8.2.35 előtti, a 8.3.* verziók a 8.3.36 előtti, a 8.4.* verziók a 8.4.27 előtti, a 8.5.* verziók pedig a 8.5.12 előtti kiadásokban. Azok a telepítések lehetnek érintettek, amelyek ezeket a verziókat webalkalmazásokhoz, API-khoz vagy parancssori eszközökhöz használják. A hiba magában a PHP-ben van, nem pedig egy adott alkalmazásban vagy keretrendszerben, ezért a kitettség attól függ, hogy a sérülékeny PHP-buildek hol érhetők el a hálózat felől.

Mit kell most tenni

1. Frissítse mindegyik érintett PHP-telepítést a hozzá tartozó javított kiadásra: 8.2.35, 8.3.36, 8.4.27 vagy 8.5.12.
2. Hajtsa végre a CISA KEV szerint előírt intézkedést: kövesse a BOD 26-04 szerinti priorizálási és forenzikai triázskövetelményeket, és ha nem állnak rendelkezésre enyhítő intézkedések, szüntesse be a termék használatát.
3. Azonosítsa az internet felől elérhető rendszereket, amelyek az érintett PHP-verziókat futtatják, és korlátozza a hálózati hozzáférést mindaddig, amíg a javítások telepítése be nem fejeződik.

A CISA által megadott határidő 2026. október 29. A mögöttes hibához nem szerepel külön kerülő megoldás.

Hogyan észlelhető

A CVE-rekord és a CISA KEV-bejegyzés nem sorol fel a gyártó által közzétett kompromittálódásra utaló jeleket. Először keresse meg azokat az internetről elérhető hosztokat, amelyek az érintett PHP-verziókat futtatják; a CISA által előírt intézkedés kifejezetten kéri minden eszköz internetes kitettségének felmérését. Kezelje kiemelt javítási prioritásként minden olyan érintett PHP-példányt, amely hálózati kapcsolatokat fogad.

A javításon túl

Először telepítse a javítást, majd ellenőrizze a kitettséget. Mivel a hiba hálózaton keresztül, hitelesítés nélkül érhető el, az internet felől elérhető PHP-rendszereket kitettségkezelési problémaként kell kezelni; a Virtuális CISO szolgáltatás segíthet feltérképezni, mely eszközök érhetők el. Mivel a CISA KEV kihasználtként tartja nyilván a hibát, az észlelésnek és a reagálásnak is szerepelnie kell a tervében a Menedzselt kiberbiztonsági felügyelet (MDR) szolgáltatáson keresztül.