Eksperci z Cisco Talos zidentyfikowali dwie krytyczne podatności w jądrze PHP, oznaczone jako CVE-2026-109618 oraz CVE-2026-109619. Błędy te, o wysokim wskaźniku CVSS wynoszącym 9.2, pozwalają na zdalne wykonanie dowolnego kodu (RCE) poprzez zwykłe żądanie HTTP. Problem dotyczy wszystkich wersji PHP od 5.4 wzwyż, co oznacza, że zagrożone są popularne systemy CMS, takie jak WordPress, Drupal czy Magento, a także platformy korzystające z cPanel lub Plesk.
Pierwsza luka wynika z błędnej obsługi braku pamięci, co prowadzi do traktowania nieprawidłowych danych jako poprawnych podczas czyszczenia żądania. Druga dotyczy ponownego wykorzystania nieaktualnego stanu wewnętrznego po zwolnieniu pamięci. Sytuacja jest poważna, ponieważ wiele starszych wersji PHP nie otrzyma już poprawek.
Zagrożone są niemal wszystkie branże korzystające z PHP. Choć na ten moment nie odnotowano aktywnych ataków, eksperci ostrzegają przed ogromnym zasięgiem tych podatności. Zaleca się natychmiastową aktualizację do wspieranych wersji, takich jak PHP 8.2 lub nowsze, gdyż dla wersji 8.1 i starszych nie przewiduje się łatek bezpieczeństwa.
