A php magas sérülékenységi riasztást adott ki.

Az alábbi verziók egyikére kell sürgősen frissíteni!

PHP 8.5.12,
PHP 8.4.27,
PHP 8.3.36
PHP 8.2.35

A PHP 8.5.12, 8.4.27, 8.3.36 és 8.2.35 két kritikus sebezhetőséget javít, amelyek hitelesítés nélküli távoli kódfuttatást tesznek lehetővé. Minden PHP-felhasználót arra biztatunk, hogy azonnal frissítsen.

Veszélyben lévők: minden webes kéréseket kiszolgáló PHP telepítés, beleértve a PHP-FPM-et, az Apache-t mod_php-vel, a php-cgi-t, a FrankenPHP-t és a LiteSpeed-et. A mod_php-t tartjuk a legnagyobb kockázatnak, egy bizonyítottan kihasználható hibával, ahol egy nem hitelesített kérés indíthatja el a támadást, mielőtt bármilyen alkalmazáskód lefutna.

A sebezhetőségek:

RCE OOM-on keresztüli sérüléssel , CVE-2026-109618 ( GHSA-w8hw-w9fx-j79w ): A memóriahiány kezelése megszakíthatja a PHP-t, miközben a belső kérésadatok csak részben inicializálódnak. A kérések tisztítása ezután érvényesként kezelheti az érvénytelen adatokat.
RCE elavult globális állapoton keresztül , CVE-2026-109619 ( GHSA-6wmf-4rv5-p3rp ): A kérés tulajdonában lévő belső állapot fennmaradhat a háttérmemória felszabadítása után. Egy későbbi, ugyanazon munkafolyamat által kezelt kérés használhatja ezt az elavult állapotot, mielőtt a normál inicializálás visszaállítaná azt.

Munkamenet feltöltésének folyamata

Azt javasoljuk, hogy session.upload_progress.enabled=0
A következő szokásos hibajavítás kiadásáig állítsa be, hogy teljes védelmet nyújtson egy valószínűtlen RCE-vektorral szemben.
Ez a beállítás már szerepelt enyhítő tényezőként a CVE-2026-109619-hez kapcsolódó GHSA-6wmf-4rv5-p3rp tanácsadó dokumentumban, amelyet 2026. október 21-én tettek közzé.
Ha akkor alkalmazta, hagyja meg a helyén, és további intézkedésre nincs szükség.

A probléma csak a konfiguráció és az alkalmazáskód szokatlan kombinációja esetén fordulhat elő.
Egy alkalmazásnak a konfigurációjában vagy értéket kell beállítani session.serialize_handler, php_binarymajd php_serializefutásidőben a -ra kell váltania phpa ini_set()hívás előtt session_start().
A munkamenet-feltöltés folyamatának is engedélyezve kell lennie.
Azok az alkalmazások, amelyek futásidőben soha nem változtatják meg a szerializálási kezelőt, engedélyezve tarthatják a funkciót.
Mivel ez a beállítás a gyakorlatban valószínűtlen, a szokásos kiadási ciklusban kezeljük, és a következő kiadásban teljes körű tanácsadót fogunk közzétenni a CVE-2026-115560-hoz kapcsolódóan.

Forrás: https://www.php.net/

Frissített PHP Windows buildek a Brotli biztonsági javításához

A PHP csapat bejelentette a frissített Windows-buildek megjelenését: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 és 8.2.35-1.
Ezek a buildek tartalmazzák a Brotli 1.2.1-et, amely kijavítja a CVE-2026-111497 számú, a Brotli kicsomagolásában található írási határokat meghaladó sebezhetőséget.

A PHP Windows-alapú verzióiban a sebezhető dekóder a cURL kiterjesztésen keresztül érhető el, ha az automatikus HTTP-válasz kicsomagolás engedélyezve van.
Ez alapértelmezés szerint le van tiltva a cURL-ben, de az alkalmazások és a HTTP-klienskönyvtárak engedélyezhetik.

Az -1 utótag egy frissített függőségekkel rendelkező Windows csomag újraépítését azonosítja.
Ezek a buildek ugyanazokat a PHP forráskiadásokat használják, és a PHP futtatókörnyezet verziói változatlanok maradnak.

Forrás: https://www.php.net/

Szeretnék őszinte köszönetet mondani a bejegyzés szerzőjének az éberségéért és azért, hogy folyamatosan figyelemmel kíséri a PHP-Fusion közösség biztonságát. Köszönöm, hogy időben tájékoztat bennünket az ilyen fontos biztonsági fenyegetésekről. Az ilyen elkötelezettség igazán értékes!

Szeretném egyúttal felhívni mindenki figyelmét a PHP környezet frissítésének fontosságára.

Jó hír, hogy a PHP 8-as verziói már megkapták a szükséges biztonsági javításokat. A régebbi PHP 7.3 és 7.4 verziók esetében csak korlátozott javítások érhetők el, ezért érdemes megfontolni az újabb környezetre való áttérést.

Különösen szeretném bátorítani a PHP-Fusion 9.10.30 felhasználóit, hogy próbálják meg CMS rendszerüket PHP 8.5.12 alatt futtatni.

Az eddigi tapasztalataim alapján a CMS nagy része várhatóan megfelelően fog működni. Előfordulhatnak azonban problémák azokkal a régebbi adminisztrációs panelekkel és modulokkal, amelyeket annak idején a PHP-Fusion v7 verzióból emeltek át a v9-be. Az adminisztrációs felület egyes oldalai szintén működési problémákat mutathatnak.

Ez azonban nem jelenti azt, hogy le kell mondanunk a frissítésről. A problémák egy része saját kezűleg is javítható, ha a régi, inkompatibilis fájlokat hozzáigazítjuk az újabb PHP-verzióhoz.

Én magam is belevágtam ebbe a munkába. Néhány nem működő rendszerfájlt már átírtam, és jelenleg tesztelem a működésüket.



Még egyszer köszönöm a szerzőnek a figyelmeztetést és a közösség biztonságáért végzett munkáját!

A biztonság közös ügyünk!

Amennyiben észlelsz ilyeneket, légyszíves értesíts itt vagy magánba, megpróbálom javítani és közzé tenni a support oldalon (github-on).