PHP में दो गंभीर RCE कमज़ोरियाँ, अपडेट ज़रूरी
मूल शीर्षक: Today's PHP security release, and how we're strengthening security
यह क्यों महत्वपूर्ण है
PHP आज भी लाखों servers पर चलता है; unauthenticated RCE की यह जोड़ी वैश्विक web infrastructure के लिए सीधा खतरा है।
PHP Foundation ने 21 अक्टूबर 2026 को PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 जारी किए। इनमें दो critical RCE vulnerabilities — CVE-2026-109618 और CVE-2026-109619 — को ठीक किया गया है जो बिना authentication के server पर code execute करने देती थीं।
PHP Foundation ने स्वीकार किया कि दोनों vulnerabilities PHP के memory management और error handling हिस्सों में थीं — यानी लगभग हर request इनसे गुज़रती है।
पहली कमज़ोरी (CVE-2026-109618) OOM corruption से जुड़ी है। जब कोई request ठीक गलत समय पर memory_limit तक पहुँचती थी, तो PHP आंशिक रूप से initialized data को valid मान लेता था। Apache पर mod_php के साथ default settings में unauthenticated request से भी remote code execution साबित हो चुकी है।
दूसरी कमज़ोरी (CVE-2026-109619) stale state से है। Fatal error के बाद internal state पुराने request की memory की तरफ इशारा करती रह जाती थी। अगला request उसी freed memory का इस्तेमाल कर सकता था — use-after-free और worker crash दोनों confirm हुए।
2024 में Sovereign Tech Agency की funding से OSTIF के ज़रिए Quarkslab ने PHP का पहला बाहरी security audit किया। इसी दौरान एक PHP developer को CVE-2026-109618 के शुरुआती संकेत मिले थे। लेकिन fix करने के कई तरीकों में से कोई भी बिना trade-off के नहीं था — backward compatibility टूटती, denial-of-service का खतरा, या third-party extensions में बड़े बदलाव की ज़रूरत। इस वजह से security team महीनों तक निर्णय नहीं ले पाई।
Foundation ने खुद माना: यह देरी एक structural failure थी — decision process और संसाधनों की कमी दोनों कारण रहे। अब security team अपनी प्रक्रियाएँ बदल रही है।