Kritikus PHP-sebezhetőségek: azonnali frissítést kér a DigitalOcean
Két kritikus PHP-sebezhetőséget hoztak nyilvánosságra, amelyekkel támadók tetszőleges kódot futtathatnak az érintett szerveren. A DigitalOcean szerint már elérhető a bizonyítási célú kihasználókód, ezért a javított PHP-verzió telepítése az egyetlen teljes körű védelem.
- A CVE-2026-109618 és CVE-2026-109619 távoli kódfuttatást tesz lehetővé.
- A hibákhoz nyilvánosan elérhető bizonyítási célú kihasználókód tartozik.
- Javítás a PHP 8.2-es és újabb támogatott ágaihoz érhető el.
- A PHP 8.1-es és korábbi verzióit támogatott ágra kell frissíteni.
- A PHP-t tartalmazó DigitalOcean-rendszereket külön kell ellenőrizni és javítani.
Távoli kódfuttatást tesz lehetővé a két hiba
A PHP projektben azonosított hibákat a CVE-2026-109618 és CVE-2026-109619 azonosítókkal követik. A DigitalOcean 2026. október 21-i tájékoztatása szerint mindkét sérülékenység lehetővé teszi, hogy egy támadó tetszőleges kódot futtasson a PHP-t futtató szerveren. Ez az érintett rendszer teljes kompromittálásához vezethet.
A sebezhetőségeket ugyanezen a napon hozták nyilvánosságra, és már nyilvánosan elérhető hozzájuk a bizonyítási célú kihasználókód. A szolgáltató szerint a javításon kívül nincs teljes körű védekezési mód. A PHP a web jelentős részét működteti, köztük olyan technológiákat és alkalmazásokat, mint a WordPress, a Drupal, a Laravel, valamint a DigitalOcean platformján telepített egyedi alkalmazások.
A PHP 5-től minden verzió érintett lehet
A DigitalOcean szerint a sérülékenységek minden PHP 5 vagy újabb verziót érintenek. Javítás jelenleg a támogatott ágakhoz érhető el: a PHP 8.5-höz a 8.5.12, a 8.4-hez a 8.4.27, a 8.3-hoz a 8.3.36, a 8.2-höz pedig a 8.2.35 verzió. A PHP 8.1-es és korábbi kiadásokhoz nincs elérhető javítás, ezért ezeket támogatott, legalább 8.2-es ágra kell frissíteni.
A szolgáltató azt kéri, hogy az ügyfelek készítsenek leltárt minden PHP-t futtató rendszerről. Ide tartozhatnak a WordPress- és más tartalomkezelő rendszerek, az adminisztrációs felületek, például a phpMyAdmin, valamint a régi alkalmazások is. A PHP-alapú szoftvereknél az alkalmazás saját fejlesztőjének vagy szolgáltatójának javítására is szükség lehet.
Ha az azonnali frissítés nem lehetséges, a PHP Foundation által közzétett intézkedések csökkenthetik bizonyos támadási útvonalak kitettségét. Ezek önmagukban nem teszik biztonságossá a telepítést. A DigitalOcean emellett a nem internet felől elérendő PHP-alkalmazások nyilvános hozzáférésének korlátozását, valamint tűzfal- és WAF-szabályok, illetve megfigyelési megoldások használatát javasolja.
A DigitalOcean szolgáltatásainál eltérő teendők vannak
A Cloudways kezelt szolgáltatásban a DigitalOcean automatikusan javítja a jelenleg támogatott, 5.6-os és újabb PHP-verziókat. A javítás a közlemény szerint folyamatban van, és a vállalat ideiglenes PHP-védelmi intézkedéseket, valamint célzott WAF-szabályokat is alkalmaz. A SnapShooter a közlés idejére teljesen javítva volt, ezért ott nincs ügyféloldali teendő.
A Marketplace 1-Click képeit levették a kínálatból, az ezekkel korábban létrehozott példányok azonban nem frissülnek automatikusan. A Functions PHP-futtatókörnyezeteit már javították, az új verziók átvételéhez újratelepítés szükséges. Az App Platform PHP buildpackje szintén javítva van, az alkalmazásokat újra kell telepíteni. Saját Dockerfile vagy konténerkép használatakor a PHP-verziót a képben kell frissíteni, majd a képet újra kell építeni és telepíteni.
A Droplets, a DOKS, a MicroVM-ek és a Container Registry alapértelmezés szerint nem tartalmaznak vagy nem frissítenek PHP-t, ezért az ügyfél által telepített PHP-t, illetve a PHP-t tartalmazó konténerképeket külön kell ellenőrizni és javítani. A korábbi pillanatképek, mentések és egyedi képek visszaállítása a sérülékeny PHP-verziót is visszahozhatja. A PHP-t tartalmazó képeket újra kell építeni, a visszaállított rendszereket pedig azonnal frissíteni kell.
DigitalOcean: Critical PHP RCE Vulnerabilities: Patch Now (CVE-2026-109618, CVE-2026-109619)
