Dobësitë kritike në PHP i vënë faqet e internetit në rrezik marrjeje nën kontroll
Dobësitë kritike në PHP, të identifikuara si CVE-2026-109618 dhe CVE-2026-109619, mund t'u lejojnë sulmuesve të marrin kontrollin e plotë të web server-ëve të prekur. PHP është një gjuhë programimi që përdoret për të krijuar dhe operuar faqe interneti, përfshirë faqet e bazuara në WordPress, Drupal, Joomla dhe Magento. PHP publikoi përditësime emergjente sigurie më 21 tetor 2026, ndërsa KrebsOnSecurity raportoi se afro 70 për qind e faqeve të internetit duhet të përditësojnë software-in e tyre bazë. Ekspertët e cituar nga publikimi thanë se tashmë ekzistojnë exploit funksionale, domethënë metoda praktike sulmi, dhe se dobësitë po shfrytëzohen në sisteme reale.
Të dyja dobësitë mund t'i lejojnë një sulmuesi të ekzekutojë kod sipas zgjedhjes së vet në një server të cenueshëm, sistemin kompjuterik që ua dërgon faqen e internetit vizitorëve. Kjo aftësi mund të sigurojë kontroll të gjerë mbi sistemin e prekur, në vend të qasjes vetëm në një faqe ose funksion. Reuters raportoi se faqet e internetit të institucioneve qeveritare në Evropë dhe vende të tjera dolën jashtë funksionit pasi dobësitë u bënë publike, duke treguar se ndërprerja tashmë ishte e dukshme edhe jashtë mjediseve të kërkimit të sigurisë.
Cloudflare tha se kishte zbuluar shfrytëzim të dobësive dhe kishte vendosur rregulla web application firewall në 3:02 am UTC. Një web application firewall kontrollon dhe filtron kërkesat që u dërgohen faqeve të internetit. Sipas Cloudflare, sulmet që synojnë dobësitë e PHP mund të shkaktojnë denial of service, që e bën një faqe interneti të padisponueshme, remote code execution, që i lejon një sulmuesi të ekzekutojë komanda nga një vendndodhje tjetër, si dhe ekspozim të të dhënave. Rregullat e firewall mund të filtrojnë trafikun e identifikuar të sulmit, por operatorët duhet gjithsesi të instalojnë software-in e korrigjuar PHP.
Raporti i përshkruan CVE-2026-109618 dhe CVE-2026-109619 si zero-day vulnerabilities, dobësi që mund të shfrytëzohen përpara se një korrigjim të jetë publikisht i disponueshëm. Ato prekin web server-ët që përdorin PHP 5.4 ose versione më të reja. Wiz tha se çdo version PHP i publikuar gjatë dekadës së fundit preket nga të paktën njëri prej dy bugs. PHP i ka korrigjuar dobësitë në versionet 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35. SANS Internet Storm Center po monitoron platformat kryesore software teksa ato publikojnë përditësimet përkatëse, ndërsa Ubuntu tashmë ka publikuar paketa të përditësuara PHP.
Ekspozimi i mundshëm është jashtëzakonisht i madh. Censys, që gjurmon software-in e dukshëm në sistemet e internetit, tha se një skanim i fundit gjeti rreth 2,58 milionë Internet-facing hosts, domethënë sisteme që mund të arrihen drejtpërdrejt përmes internetit, si dhe 54,9 milionë prona web që përdorin PHP. Këto matje tregojnë shkallën e përdorimit të PHP, megjithëse shifrat përshkruajnë sistemet që përdorin PHP dhe jo një numër të konfirmuar faqesh interneti të sulmuara me sukses.
Wiz ishte një nga disa organizatat që u vlerësuan për zbulimin e dobësive. Përpara publikimit të tyre, Wiz tha se kishte punuar me ekipin e PHP, Calif dhe OpenAI për të matur shtrirjen, verifikuar patch-et dhe koordinuar publikimin. OpenAI mori pjesë në kërkim dhe komunikim dhe i përshkroi dobësitë si një nga çështjet më me pasoja të sigurisë në historinë e fundit, për shkak të rrezikshmërisë së tyre dhe përdorimit të gjerë të PHP.
Sipas Wiz, dobësitë themelore kishin ekzistuar prej dekadash, por vërtetimi se ato mund të shfrytëzoheshin kërkonte një seri jashtëzakonisht të ndërlikuar hapash, pranë kufijve praktikë të kërkimit njerëzor. Wiz tha se frontier AI models, sisteme shumë të afta të inteligjencës artificiale, e ulën ndjeshëm këtë pengesë dhe ndihmuan që një dobësi e kahershme të shndërrohej në një exploit funksionale. Ky detaj ka rëndësi sepse tregon se një dobësi mund të mbetet e fshehur në software të konsoliduar për vite me radhë, ndërsa përparimet në mjetet e kërkimit e bëjnë më të lehtë zhvillimin e një sulmi praktik.
Wiz pret që sulmuesit të përpiqen t'i shfrytëzojnë dobësitë në masë dhe të instalojnë backdoor ose web shell. Një web shell është një panel i fshehur kontrolli i bazuar në web, që i jep një sulmuesi qasje në distancë te një faqe e infektuar. Studiuesit e krahasuan sfidën e mundshme të patching me Log4Shell, dobësinë e rëndë të bërë publike në vitin 2021 në Log4j, një komponent Java që përdoret për të regjistruar aktivitetin e software-it. PHP është i integruar në platformat cloud, kompanitë e hosting, content-delivery networks dhe serverët e menaxhuar në mënyrë të pavarur, ndaj zvogëlimi i ekspozimit kërkon veprime në të gjithë këtë ekosistem, në vend të përditësimit të vetëm një aplikacioni. Për pronarët e faqeve WordPress që po e shqyrtojnë këtë rrezik, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi deri në fund.
Pronarët e faqeve të internetit duhet të pyesin ofruesin e tyre të hosting se cili PHP build po e shërben aktivisht faqen e tyre dhe nëse është kaluar në një nga release-et e korrigjuara. Përditësimi vetëm i WordPress, Drupal, Joomla ose Magento nuk duhet të ngatërrohet me zëvendësimin e software-it të cenueshëm PHP që funksionon poshtë tyre. Censys ka krijuar gjithashtu php2shell.censys.com për të gjurmuar dobësitë, ndërsa Calif ka publikuar një përshkrim teknik të kronologjisë së zbulimit në stil libri komik. Meqë shfrytëzimi i dobësive tashmë është raportuar, instalimi i përditësimit të duhur të sigurisë për PHP është hapi kryesor për të zvogëluar ekspozimin dhe për të shmangur komprometimin ose ndërprerjet që mund të parandalohen.