NSA varnar för två allvarliga sårbarheter i PHP och uppmanar till omedelbara uppdateringar

USA:s nationella säkerhetsbyrå (NSA) varnade för två allvarliga sårbarheter i programspråket PHP som kan tillåta angripare att fjärrköra kommandon och ta kontroll över webb- och applikationsservrar, enligt en rapport som återgivits av Iraks nyhetsbyrå.

Rapporten uppger att varningen utfärdades på onsdagen och identifierade sårbarheterna som CVE-2026-109618 och CVE-2026-109619, med en riskpoäng på 9,2 av 10, och att hotet ligger i PHP-språket självt snarare än i specifika tillägg eller innehållshanteringssystem.

Rapporten varnar för att utnyttjande av sårbarheterna kan leda till åtkomst till känslig information såsom lösenord, säkerhetstoken och API-nycklar, och kan även möjliggöra manipulation av webbplatsinnehåll och åtkomst till användarinformation.

Säkerhetstester visade att sårbarheterna kan utnyttjas i driftmiljöer som använder innehållshanterare som WordPress, Drupal och Joomla, även om sårbarheterna inte finns i dessa system själva utan i det programspråk de bygger på.

Rapporten noterade att upptäckten kom med deltagande av specialiserade forskarteam, bland annat företagen Kalif och Wiz, i samarbete med PHP:s utvecklingsteam och företaget OpenAI, och att AI-verktyg bidrog till att analysera kodfel och avslöja möjliga utnyttjandespår.

Den säger också att vissa av felen som orsakar dessa sårbarheter går mer än tio år tillbaka, men att komplexiteten i att utnyttja dem förhindrat att deras allvar uppdagats tidigare.

PHP:s utvecklingsteam utfärdade brådskande säkerhetsuppdateringar för att åtgärda sårbarheterna, som omfattar versionerna 8.5.12, 8.4.27, 8.3.36 och 8.2.35, och rapporten uppmanade organisationer och webbplatsägare att omedelbart installera dessa uppdateringar, med varning att tillfälliga skyddsåtgärder inte ger fullständigt skydd.