Vedlikeholderne av PHP varslet mandag at det skal komme sikkerhetsoppdateringer for to sårbarheter i programmeringsspråket. Oppdateringene var planlagt publisert litt over tolv timer etter varslingen.

Begge sårbarhetene har fått alvorlighetsgrad 9,2 av 10. I sikkerhetsmeldingen blir alle PHP-brukere bedt om å forberede seg slik at de kan oppgradere så snart oppdateringene er tilgjengelige.

«All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available»

Vedlikeholderne opplyser samtidig at de kan framskynde lanseringen dersom detaljer om en av sårbarhetene blir offentlig kjent, eller dersom det dukker opp tegn på aktiv utnyttelse.

Ubekreftet lekkasje viste angrepsverktøy

Varslingen kom etter at påståtte detaljer om sårbarhetene skal ha blitt lekket. Opplysningene er ikke bekreftet. Rapporten inneholdt en video som viste et angrepsverktøy kalt PHP2Shell, som skal kunne kjøre kode på webservere som bruker PHP.

Sikkerhetsselskapet watchTowr opplyste at rapporten hevdet at sårbarhetene berører alle PHP-versjoner fra PHP 5, som ble lansert i 2004, og nyere versjoner. Selskapet sa senere at det hadde bekreftet at sårbarhetene er reelle.

Sårbarhetene er registrert som CVE-2026-109618 og CVE-2026-109619. Forsøk på å finne den ubekreftede rapporten førte ikke fram.

Advarer om raske masseangrep

Forskere i sikkerhetsselskapet Sansec sa at de «expect mass attacks to start within 15 minutes of the release». Selskapet Webfence ba også administratorer om å forberede seg, og Huntress har publisert en egen sikkerhetsmelding.

Forberedelsene som blir anbefalt, inkluderer å avklare hvem som har ansvaret for PHP i virksomheten og lage en oversikt over alle applikasjoner som er bygget med teknologien. Administratorer bør også planlegge et vedlikeholdsvindu fra klokken 14.00 UTC, med mulighet for å starte tidligere.

Det anbefales dessuten å ta sikkerhetskopi av filer til nettsteder og databaser, samt følge med på PHP.net for eventuelle nye meldinger eller en tidligere lansering. Enkelte eksperter foreslår å koble fra ikke-kritiske systemer fram til de er oppdatert.

Kan berøre 1,3 millioner nettverter

PHP er et åpent skriptspråk for dynamiske nettsteder og webapplikasjoner. Det brukes i flere innholdsstyringssystemer i tillegg til WordPress, og også i interne verktøy.

En sikkerhetsforsker anslo at rundt 1,3 millioner internettilkoblede verter kan være berørt. Sårbarheter med den alvorlighetsgraden som beskrives i varslene, kan få store konsekvenser på tvers av internett.

Oppdateringer av kildekoden ble senere lagt til i php-src-depotet på GitHub klokken 13.34 UTC. Pakker og Docker-avbildninger begynte å bli gjort tilgjengelige etter hvert som vedlikeholderne tok i bruk den nye kildekoden. Rådet er fortsatt å oppdatere så snart som mulig.