आज सुबह PHP परियोजना ने PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35 जारी किए। इन संस्करणों में दो गंभीर कमजोरियों को ठीक किया गया है, जो सही परिस्थितियों में एक अप्रमाणित हमलावर को PHP चलाने वाले सर्वरों पर कोड निष्पादित करने की अनुमति दे सकती हैं। PHP चलाने वाले सभी लोगों से तुरंत अपडेट करने का आग्रह किया गया है। php.net पर आधिकारिक घोषणा में तकनीकी विवरण और अपडेट निर्देश दिए गए हैं।
पहली खामी, CVE-2026-109618, आउट-ऑफ-मेमोरी (OOM) स्थितियों से जुड़ी है। यदि कोई अनुरोध ठीक गलत समय पर PHP की memory_limit तक पहुंच जाता है, तो PHP आंशिक रूप से आरंभ किए गए आंतरिक डेटा को छोड़ सकता है, जिसे बाद में वैध मान लिया जाता है और इससे मेमोरी दूषित हो जाती है। mod_php के साथ Apache पर, कोई अप्रमाणित अनुरोध किसी भी एप्लिकेशन कोड के चलने से पहले इसे ट्रिगर कर सकता है, और डिफ़ॉल्ट सेटिंग्स के साथ पूर्ण रिमोट कोड निष्पादन प्रदर्शित किया गया था। दूसरी, CVE-2026-109619, एक बासी-स्थिति समस्या है: एक घातक त्रुटि आंतरिक स्थिति को पिछले अनुरोध की मेमोरी की ओर इंगित छोड़ सकती है, जिससे use-after-free संभव होता है, जिसे एक वास्तविक एप्लिकेशन पर प्रदर्शित किया गया था।
ये दोनों समस्याएं PHP के उन मूल क्षेत्रों में हैं जिन्हें लगभग हर अनुरोध छूता है: मेमोरी प्रबंधन और त्रुटि हैंडलिंग। इसी केंद्रीय भूमिका के कारण ये गंभीर थीं, और साथ ही संगतता तोड़े बिना, प्रदर्शन को नुकसान पहुंचाए बिना, या तीसरे-पक्ष के विशाल एक्सटेंशन पारिस्थितिकी तंत्र में बदलाव थोपे बिना इन्हें ठीक करना कठिन था।
OOM समस्या पहली बार 2024 के एक बाहरी सुरक्षा ऑडिट के दौरान देखी गई थी, जिसे PHP Foundation ने वित्तपोषित किया था और Quarkslab ने किया था। सुरक्षा टीम के प्रतिस्पर्धी दृष्टिकोणों पर विचार करते हुए, जिनमें से हर एक की अपनी समझौता-शर्तें थीं, इसे ठीक करने का काम महीनों तक रुका रहा। टीम स्वीकार करती है कि यह देरी एक संरचनात्मक विफलता थी, और वह बहुमत मतदान सहित अपनी निर्णय प्रक्रिया बदल रही है। मई 2026 में PHP Foundation ने छंटनी, समन्वय और सुदृढ़ीकरण में सहायता के लिए एक Ecosystem Security Team भी बनाई।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित