আজ আগে PHP প্রকল্প PHP 8.5.12, 8.4.27, 8.3.36 এবং 8.2.35 প্রকাশ করেছে। এই সংস্করণগুলো দুটি গুরুতর দুর্বলতা সারায়, যা সঠিক পরিস্থিতিতে একজন প্রমাণীকরণহীন আক্রমণকারীকে PHP চালানো সার্ভারে কোড চালানোর সুযোগ দিতে পারে। PHP ব্যবহার করে এমন সবাইকে অবিলম্বে হালনাগাদ করার আহ্বান জানানো হচ্ছে। php.net-এর সরকারি ঘোষণায় প্রযুক্তিগত বিবরণ ও হালনাগাদের নির্দেশনা রয়েছে।
প্রথম ত্রুটি, CVE-2026-109618, মেমরি ফুরিয়ে যাওয়ার (OOM) অবস্থার সাথে জড়িত। কোনো অনুরোধ ঠিক ভুল মুহূর্তে PHP-এর memory_limit-এ পৌঁছালে, PHP আংশিকভাবে আরম্ভ হওয়া অভ্যন্তরীণ ডেটা রেখে যেতে পারে, যা পরে বৈধ হিসেবে ধরা হয় এবং মেমরি নষ্ট করে। mod_php সহ Apache-তে, কোনো অপ্রমাণিত অনুরোধ অ্যাপ্লিকেশন কোড চালানোর আগেই এটি ট্রিগার করতে পারে, এবং ডিফল্ট সেটিংসে সম্পূর্ণ দূরবর্তী কোড চালানো প্রদর্শিত হয়েছে। দ্বিতীয়টি, CVE-2026-109619, একটি পুরনো-অবস্থার সমস্যা: একটি মারাত্মক ত্রুটি অভ্যন্তরীণ অবস্থাকে আগের অনুরোধের মেমরির দিকে নির্দেশ করিয়ে রাখতে পারে, যা use-after-free সক্ষম করে। একটি বাস্তব অ্যাপ্লিকেশনের বিরুদ্ধে এটি প্রদর্শিত হয়েছে।
দুটি সমস্যাই PHP-এর এমন মূল অংশে রয়েছে যা প্রায় প্রতিটি অনুরোধ স্পর্শ করে: মেমরি ব্যবস্থাপনা ও ত্রুটি পরিচালনা। এই কেন্দ্রীয় ভূমিকার কারণেই এগুলো গুরুতর, আবার সামঞ্জস্য ভেঙে, কর্মক্ষমতা ক্ষতিগ্রস্ত করে, বা বিশাল তৃতীয়-পক্ষের এক্সটেনশন ইকোসিস্টেমে পরিবর্তন চাপিয়ে না দিয়ে এগুলো সারানো কঠিন ছিল।
OOM সমস্যাটি প্রথম ২০২৪ সালের একটি বাহ্যিক নিরাপত্তা নিরীক্ষায় ধরা পড়ে, যা PHP Foundation অর্থায়ন করেছিল এবং Quarkslab পরিচালনা করেছিল। নিরাপত্তা দল প্রতিটিতে বাণিজ্য-বিনিময় থাকা প্রতিযোগী পদ্ধতিগুলো বিবেচনা করায় এটি সারাতে কয়েক মাস দেরি হয়। দল স্বীকার করছে এই বিলম্ব একটি কাঠামোগত ব্যর্থতা ছিল এবং তারা সংখ্যাগরিষ্ঠ ভোটসহ তাদের সিদ্ধান্ত প্রক্রিয়া বদলাচ্ছে। ২০২৬ সালের মে মাসে PHP Foundation ট্রায়েজ, সমন্বয় ও সুরক্ষা জোরদারে সহায়তার জন্য একটি Ecosystem Security Team-ও গঠন করেছে।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing