Zespół ds. bezpieczeństwa PHP wykrył dwie krytyczne podatności o identyfikatorach CVE-2026-109618 oraz CVE-2026-109619. Obie luki otrzymały wysoką ocenę CVSS v4.0 na poziomie 9.2, co wskazuje na bardzo wysokie ryzyko.
Błędy te pozwalają napastnikom na zdalne wykonanie dowolnego kodu na zainfekowanym serwerze. Problem jest niezwykle poważny, ponieważ dotyczy szerokiego spektrum użytkowników, w tym wszystkich wersji PHP od 5.0 wzwyż.
Ryzyko rozciąga się również na popularne systemy zarządzania treścią i narzędzia, takie jak WordPress, Joomla czy PHPMyAdmin, które bazują na tym języku. Deweloperzy PHP wydali już odpowiednie poprawki bezpieczeństwa, a eksperci z CERT Polska zalecają ich niezwłoczne wdrożenie.
