A php magas sérülékenységi riasztást adott ki.

Az alábbi verziók egyikére kell sürgősen frissíteni!

PHP 8.5.12,
PHP 8.4.27,
PHP 8.3.36
PHP 8.2.35

A PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 két kritikus sebezhetőséget javít, amelyek hitelesítés nélküli távoli kódfuttatást tesznek lehetővé. Minden PHP-felhasználót arra biztatunk, hogy azonnal frissítsen.

Veszélyben lévők: minden webes kéréseket kiszolgáló PHP telepítés, beleértve a PHP-FPM-et, az Apache-t mod_php-vel, a php-cgi-t, a FrankenPHP-t és a LiteSpeed-et. A mod_php-t tartjuk a legnagyobb kockázatnak, egy bizonyítottan kihasználható hibával, ahol egy nem hitelesített kérés indíthatja el a támadást, mielőtt bármilyen alkalmazáskód lefutna.

A sebezhetőségek:

RCE OOM-on keresztüli sérüléssel , CVE-2026-109618 ( GHSA-w8hw-w9fx-j79w ): A memóriahiány kezelése megszakíthatja a PHP-t, miközben a belső kérésadatok csak részben inicializálódnak. A kérések tisztítása ezután érvényesként kezelheti az érvénytelen adatokat.
RCE elavult globális állapoton keresztül , CVE-2026-109619 ( GHSA-6wmf-4rv5-p3rp ): A kérés tulajdonában lévő belső állapot fennmaradhat a háttérmemória felszabadítása után. Egy későbbi, ugyanazon munkafolyamat által kezelt kérés használhatja ezt az elavult állapotot, mielőtt a normál inicializálás visszaállítaná azt.

Munkamenet feltöltésének folyamata

Azt javasoljuk, hogy session.upload_progress.enabled=0
A következő szokásos hibajavítás kiadásáig állítsa be, hogy teljes védelmet nyújtson egy valószínűtlen RCE-vektorral szemben.
Ez a beállítás már szerepelt enyhítő tényezőként a CVE-2026-109619-hez kapcsolódó GHSA-6wmf-4rv5-p3rp tanácsadó dokumentumban, amelyet 2026. október 21-én tettek közzé.
Ha akkor alkalmazta, hagyja meg a helyén, és további intézkedésre nincs szükség.

A probléma csak a konfiguráció és az alkalmazáskód szokatlan kombinációja esetén fordulhat elő.
Egy alkalmazásnak a konfigurációjában vagy értéket kell beállítani session.serialize_handler, php_binarymajd php_serializefutásidőben a -ra kell váltania phpa ini_set()hívás előtt session_start().
A munkamenet-feltöltés folyamatának is engedélyezve kell lennie.
Azok az alkalmazások, amelyek futásidőben soha nem változtatják meg a szerializálási kezelőt, engedélyezve tarthatják a funkciót.
Mivel ez a beállítás a gyakorlatban valószínűtlen, a szokásos kiadási ciklusban kezeljük, és a következő kiadásban teljes körű tanácsadót fogunk közzétenni a CVE-2026-115560-hoz kapcsolódóan.

Forrás: https://www.php.net/

Frissített PHP Windows buildek a Brotli biztonsági javításához

A PHP csapat bejelentette a frissített Windows-buildek megjelenését: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 és 8.2.35-1.
Ezek a buildek tartalmazzák a Brotli 1.2.1-et, amely kijavítja a CVE-2026-111497 számú, a Brotli kicsomagolásában található írási határokat meghaladó sebezhetőséget.

A PHP Windows-alapú verzióiban a sebezhető dekóder a cURL kiterjesztésen keresztül érhető el, ha az automatikus HTTP-válasz kicsomagolás engedélyezve van.
Ez alapértelmezés szerint le van tiltva a cURL-ben, de az alkalmazások és a HTTP-klienskönyvtárak engedélyezhetik.

Az -1 utótag egy frissített függőségekkel rendelkező Windows csomag újraépítését azonosítja.
Ezek a buildek ugyanazokat a PHP forráskiadásokat használják, és a PHP futtatókörnyezet verziói változatlanok maradnak.

Forrás: https://www.php.net/