PHP-də iki kritik RCE (remote code execution) boşluğu aşkar edilib: CVE-2026-109618 və CVE-2026-109619. Bu boşluqlar CVSS v4.0 üzrə 9.2 balla qiymətləndirilib və kritik səviyyəli hesab olunur.
Hansı versiyalar təsirlənib?
Cədvəldə göstərildiyinə görə boşluqlar php-src komponentinə aiddir və aşağıdakı bütün versiyaları əhatə edir:
- PHP < 8.2.35
- PHP < 8.3.36
- PHP < 8.4.27
- PHP < 8.5.12
Yəni hazırda istifadə etdiyiniz 8.x filialı bu hədlərdən aşağıdırsa, sisteminiz bu iki RCE boşluğuna qarşı həssasdır.
Hansı versiyaya keçmək lazımdır?
Boşluqlar yalnız rəsmi yeniləmə ilə tam aradan qaldırıla bilər. Təhlükəsizlik üçün dərhal uyğun filial üzrə aşağıdakı patched versiyaya keçmək tövsiyə olunur:
- 8.2.35
- 8.3.36
- 8.4.27
- 8.5.12
Mənbədən tərtib edənlər üçün PHP 7.4, 8.0 və 8.1 versiyaları üzrə minimal source-backport təqdim olunduğu qeyd edilir. Bu backport-lar yalnız mənbədən yığanlar üçündür və tam yeniləmə əvəzi deyil.
Mətnə əsasən, bu iki boşluq üçün yeganə tam həll – istifadə etdiyiniz 8.x filialına uyğun yuxarıdakı patched PHP buraxılışına yeniləməkdir. Embedded sistemlərdə, veb backend-lərdə və IoT gateway-lərində PHP işlədilirsə, həmin platada və serverdə PHP versiyasını yoxlayıb, göstərilən buraxılışlara keçmək vacibdir.
