W PHP odkryto dwie krytyczne podatności (CVE-2026-109618 oraz CVE-2026-109619) o wysokim wskaźniku CVSS wynoszącym 9.2. Błędy typu use-after-free oraz uszkodzenie pamięci wynikają z niewłaściwej obsługi typu MIME multipart/form-data w połączeniu z mechanizmem session.uploadprogress. Luka pozwala na zdalne wykonanie dowolnego kodu (RCE) bez konieczności uwierzytelnienia przez napastnika.
Krytyczne podatności RCE w PHP (CVE-2026-109618, CVE-2026-109619)
W PHP wykryto dwie krytyczne luki typu RCE, które pozwalają na zdalne wykonanie kodu bez uwierzytelnienia. Atak PHP2Shell dotyczy mechanizmu session.uploadprogress.
