NSA avertizează asupra a două vulnerabilități grave în PHP și cere actualizări imediate

Agenția Națională de Securitate a SUA (NSA) a avertizat asupra a două vulnerabilități grave în limbajul de programare PHP care ar putea permite atacatorilor să execute comenzi de la distanță și să preia controlul serverelor site-urilor și aplicațiilor web, potrivit unui raport preluat de Agenția de știri irakiană.

Raportul a precizat că avertismentul a fost emis miercuri și a identificat vulnerabilitățile cu codurile CVE-2026-109618 și CVE-2026-109619, cu o evaluare a severității de 9.2 din 10, subliniind că pericolul provine din vulnerabilități în însăși limbajul PHP, nu din pluginuri sau sisteme de gestionare a conținutului specifice.

Raportul a avertizat că exploatarea celor două vulnerabilități ar putea duce la accesarea datelor sensibile, cum ar fi parole, tokenuri de securitate și chei API, precum și la manipularea conținutului site-urilor și accesul la informații despre utilizatori.

Testele de securitate au arătat că vulnerabilitățile pot fi exploatate în medii care folosesc sisteme de management al conținutului precum WordPress, Drupal și Joomla, deși ele nu se află în aceste platforme, ci în limbajul de programare pe care acestea îl folosesc.

Raportul a menționat că descoperirea vulnerabilităților a implicat echipe de cercetare specializate, printre care companiile Calif și Wez, în colaborare cu echipa de dezvoltare PHP și cu OpenAI, arătând că instrumentele de inteligență artificială au contribuit la analizarea erorilor de programare și la descoperirea căilor de exploatare.

A mai adăugat că unele dintre erorile care cauzează aceste două vulnerabilități datează de peste zece ani, însă complexitatea exploatării a împiedicat identificarea gravității lor mai devreme.

Echipa de dezvoltare PHP a lansat actualizări de securitate urgente pentru a remedia vulnerabilitățile, care acoperă versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35, iar raportul a îndemnat instituțiile și proprietarii de site-uri să instaleze aceste actualizări imediat, avertizând că măsurile preventive temporare nu oferă protecție completă.