NSA ostrzega przed dwiema poważnymi lukami w PHP i apeluje o natychmiastowe aktualizacje

Amerykańska Agencja Bezpieczeństwa Narodowego (NSA) ostrzegła przed dwiema poważnymi lukami w języku programowania PHP, które mogą pozwolić atakującym na zdalne wykonanie poleceń oraz przejęcie serwerów stron internetowych i aplikacji, według raportu cytowanego przez Irakijską Agencję Informacyjną.

Raport wskazał, że ostrzeżenie zostało wydane w środę i oznaczył obie luki jako CVE-2026-109618 i CVE-2026-109619, z oceną 9.2 na 10, podkreślając, że niebezpieczeństwo wynika z obecności luk w samym języku PHP, a nie w dodatkach czy konkretnych systemach zarządzania treścią.

Ostrzeżono, że wykorzystanie tych luk może doprowadzić do dostępu do wrażliwych danych, takich jak hasła, tokeny bezpieczeństwa i klucze API, a także umożliwić manipulację zawartością stron i dostęp do informacji o użytkownikach.

Testy bezpieczeństwa wykazały możliwość wykorzystania tych luk w środowiskach obsługujących systemy zarządzania treścią, takie jak WordPress, Drupal i Joomla, mimo że same systemy nie są źródłem luk — znajdują się one w języku, na którym te systemy bazują.

Raport zaznaczył, że odkrycie luk miało miejsce przy udziale wyspecjalizowanych zespołów badawczych, w tym firm Kalif i Weiz, we współpracy z zespołem rozwijającym PHP oraz firmą OpenAI, wskazując, że narzędzia sztucznej inteligencji pomogły w analizie błędów i wykryciu ścieżek ich wykorzystania.

Dodano, że część błędów prowadzących do tych podatności ma ponad dziesięć lat, ale złożoność ich wykorzystania uniemożliwiła wcześniejsze wykrycie ich powagi.

Zespół rozwijający PHP wydał pilne poprawki bezpieczeństwa usuwające obie luki, obejmujące wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35, a raport wezwał instytucje i właścicieli stron do natychmiastowej instalacji tych aktualizacji, ostrzegając, że tymczasowe środki zaradcze nie zapewniają pełnej ochrony.