- Strona główna
- Forum
- Pozostałe tematy • Off-Topic | PHP-Fusion PL
- Krytyczne luki bezpieczeństwa w PHP – pilna aktualizacja zalecana
Krytyczne luki bezpieczeństwa w PHP – pilna aktualizacja zalecana
Ostatnia aktualizacja 11 godzina temu
AdrjanUżytkownikKomunikat zespołu PHP z 21 października 2026 r.[/center]
Zespół PHP poinformował o wykryciu dwóch krytycznych luk bezpieczeństwa, które mogą umożliwić zdalne wykonanie kodu (RCE) bez konieczności uwierzytelnienia użytkownika.
Podatne mogą być instalacje PHP obsługujące żądania HTTP, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP oraz LiteSpeed.
Wyróżniono dwa problemy:
Obie podatności oceniono na CVSS 4.0: 9.2, co oznacza bardzo wysoki poziom zagrożenia.
Zespół PHP opublikował poprawki bezpieczeństwa dla następujących wersji:
Aktualizacje usuwają obie opisane podatności.
PHP 7 nie znajduje się na liście standardowych wydań aktualizacyjnych wymienionych w komunikacie.
Warto jednak zaznaczyć, że zespół bezpieczeństwa PHP przygotował ograniczone poprawki źródłowe (backporty) również dla PHP 7.4, PHP 8.0 oraz PHP 8.1.
Nie oznacza to jednak przywrócenia pełnego wsparcia dla tych wersji. Użytkownicy powinni sprawdzić dostępność odpowiednich poprawek u dostawcy swojej dystrybucji lub przejść na wspieraną wersję PHP.
Administratorom serwerów oraz właścicielom stron internetowych zaleca się:
Oficjalny komunikat zespołu PHP: https://www.php.net/archive/2026.php#...26-10-21-5
Lista wydań PHP: https://www.php.net/downloads
Historia zmian: https://www.php.net/ChangeLog-8.php
Czego dotyczy problem?
Zespół PHP poinformował o wykryciu dwóch krytycznych luk bezpieczeństwa, które mogą umożliwić zdalne wykonanie kodu (RCE) bez konieczności uwierzytelnienia użytkownika.
Podatne mogą być instalacje PHP obsługujące żądania HTTP, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP oraz LiteSpeed.
Czego dotyczy problem?
Zespół PHP poinformował o wykryciu dwóch krytycznych luk bezpieczeństwa, które mogą umożliwić zdalne wykonanie kodu (RCE) bez konieczności uwierzytelnienia użytkownika.
Podatne mogą być instalacje PHP obsługujące żądania HTTP, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP oraz LiteSpeed.
Jakie zagrożenia wykryto?
Wyróżniono dwa problemy:
- [*]CVE-2026-109618 – uszkodzenie pamięci przy błędzie OOM
- Błąd związany z obsługą braku pamięci (Out Of Memory), który może doprowadzić do nieprawidłowego przetwarzania wewnętrznych danych żądania.
- [*]CVE-2026-109619 – nieaktualny stan globalny
- Problem polegający na wykorzystaniu nieprawidłowego stanu wewnętrznego PHP po zwolnieniu pamięci, co może prowadzić do niebezpiecznego działania procesu obsługującego kolejne żądania.
Obie podatności oceniono na CVSS 4.0: 9.2, co oznacza bardzo wysoki poziom zagrożenia.
Które wersje PHP otrzymały poprawki?
Zespół PHP opublikował poprawki bezpieczeństwa dla następujących wersji:
PHP 8.5.12 PHP 8.4.27 PHP 8.3.36 PHP 8.2.35 Aktualizacje usuwają obie opisane podatności.
A co z PHP 7?
PHP 7 nie znajduje się na liście standardowych wydań aktualizacyjnych wymienionych w komunikacie.
Warto jednak zaznaczyć, że zespół bezpieczeństwa PHP przygotował ograniczone poprawki źródłowe (backporty) również dla PHP 7.4, PHP 8.0 oraz PHP 8.1.
Nie oznacza to jednak przywrócenia pełnego wsparcia dla tych wersji. Użytkownicy powinni sprawdzić dostępność odpowiednich poprawek u dostawcy swojej dystrybucji lub przejść na wspieraną wersję PHP.
Zalecenia
Administratorom serwerów oraz właścicielom stron internetowych zaleca się:
- []Sprawdzenie aktualnie używanej wersji PHP. []Aktualizację do odpowiedniego wydania zawierającego poprawki bezpieczeństwa. []Weryfikację dostępności aktualizacji PHP-FPM, Apache i pozostałych używanych środowisk. []Unikanie pozostawiania nieaktualnych wersji PHP w środowiskach produkcyjnych.
Zgodnie z komunikatem zespołu PHP nie istnieją kompletne środki zaradcze zastępujące aktualizację. Instalacja poprawionej wersji jest jedynym zalecanym rozwiązaniem.
Źródła i dodatkowe informacje
Oficjalny komunikat zespołu PHP: https://www.php.net/archive/2026.php#...26-10-21-5
Lista wydań PHP: https://www.php.net/downloads
Historia zmian: https://www.php.net/ChangeLog-8.php
Warto zadbać o aktualizację środowiska PHP, zanim wykryte podatności zostaną wykorzystane do ataków na serwery i aplikacje internetowe.
ZbigniewSuper administratorChciałbym poinformować, że w związku z opisanymi lukami bezpieczeństwa zdecydowałem się na aktualizację wersji PHP na moim serwerze. Dotychczas CMS PHP-Fusion V9 działał na środowisku dostosowanym do PHP 7. Obecnie przeszedłem na PHP 8.5.12.
Niestety, PHP-Fusion V9 nie jest w pełni dostosowany do najnowszej wersji PHP, dlatego aktualnie przeprowadzam stopniową aktualizację i poprawki niektórych plików CMS, aby zapewnić prawidłowe działanie strony.
W związku z tym niektóre funkcje mogą chwilowo działać nieprawidłowo
.Dotyczy to między innymi forum, pobieralni plików oraz wybranych funkcji panelu administracyjnego, w tym rejestracji użytkowników.
Przepraszam za wszelkie niedogodności i proszę o cierpliwośc. Prace nad dostosowaniem poszczególnych funkcji do PHP 8.5.12 będą prowadzone stopniowo.
Bezpieczeństwo strony i jej użytkowników jest dla mnie priorytetem, dlatego zdecydowałem się na tę aktualizację, mimo że wiąże się ona z koniecznością wprowadzenia dodatkowych poprawek w CMS.
Dziękuję za cierpliwość i wyrozumiałość.
możesz przeglądać wszystkie wątki dyskusji na tym forum.
nie możesz rozpocząć nowy wątek dyskusji na tym forum.
nie możesz odpowiadać na posty w tym wątku dyskusji.
nie możesz rozpocząć ankietę na tym forum.
nie możesz dodawać załączniki w tym forum.
nie możesz pobierać załączniki na tym forum.
nie możesz rozpocząć nowy wątek dyskusji na tym forum.
nie możesz odpowiadać na posty w tym wątku dyskusji.
nie możesz rozpocząć ankietę na tym forum.
nie możesz dodawać załączniki w tym forum.
nie możesz pobierać załączniki na tym forum.