SlowMist: PHP เปิดเผยช่องโหว่รันโค้ดจากระยะไกลร้ายแรงสองรายการ คะแนน CVSS v4.0 อยู่ที่ 9.2 ทั้งคู่

BlockBeats รายงานว่า วันที่ 21 ตุลาคม SlowMist เปิดเผยว่า PHP ได้ออกประกาศด้านความปลอดภัยเมื่อวันที่ 20 ตุลาคม โดยเปิดเผยช่องโหว่ร้ายแรงสองรายการที่อาจนำไปสู่การรันโค้ดจากระยะไกล (RCE) หมายเลข CVE-2026-109618 และ CVE-2026-109619 โดยมีคะแนน CVSS v4.0 อยู่ที่ 9.2 ทั้งคู่ ปัจจุบันแพตช์อย่างเป็นทางการยังไม่ได้รับการเผยแพร่ รายละเอียดทางเทคนิคของช่องโหว่ เงื่อนไขการโจมตี และเวอร์ชันที่ได้รับผลกระทบยังไม่ได้รับการยืนยันอย่างเป็นทางการ

รายงานจากบุคคลที่สามระบุว่า PHP 5 และเวอร์ชันต่อมาอาจได้รับผลกระทบ แต่ขอบเขตดังกล่าวยังไม่ได้รับการตรวจสอบยืนยัน ทาง oficial คาดว่าจะเผยแพร่การอัปเดตด้านความปลอดภัยในวันที่ 21 ตุลาคม เวลา 14:00 UTC (เวลา 22:00 ตามเวลาปักกิ่ง)

SlowMist แนะนำให้ทีมที่เกี่ยวข้องตรวจสอบเวอร์ชัน PHP ในเซิร์ฟเวอร์และระบบธุรกิจ โดยให้ความสำคัญกับการตรวจสอบบริการที่เปิดสู่อินเทอร์เน็ตก่อน และอัปเดตโดยเร็วที่สุดหลังจากแพตช์อย่างเป็นทางการเผยแพร่ หากไม่สามารถแก้ไขได้ในทันที ควรจำกัดสิทธิ์การเข้าถึงบริการ PHP ที่เปิดเผยอยู่ และแยกออกจากระบบหากจำเป็น