1. PHP runtime-ının özündə tapılan iki kritik remote code execution (RCE) zəifliyinin ümumi adı: CVE-2026-109618 və CVE-2026-109619. Hər ikisi CVSS 4.0 üzrə 9.2 (watchTowr 10.0 verir) və autentifikasiya tələb etmir. Problem framework-də, CMS-də və ya plugin-də deyil, PHP-nin özündədir — ona görə WordPress, Laravel və ya Drupal-ı yeniləmək kifayət etmir, PHP binary-ni yeniləmək lazımdır.

iki zəiflik
CVE-2026-109619 (Use-after-free)
Session-un upload progress funksiyası multipart upload zamanı session datasına iki xam zval * pointer saxlayır. ikinci progress yenilənməsində session yenidən oxunur, köhnə ağac silinir, amma pointer-lər yenilənmir — azad edilmiş yaddaşa göstərirlər. Hücumçu həmin yeri saxta strukturlarla doldurur və nəticədə öz funksiya çağırışını (məs. system()) icra etdirir.

CVE-2026-109618 (OOM zamanı yaddaş korlanması)
Sorğu hazırlanarkən memory_limit aşılır, PHP longjmp() ilə geri qayıdır və normal təmizləmə/inisializasiya addımları ötürülür. Yarımçıq qalmış strukturlar request shutdown zamanı oxunur və engine hücumçunun nəzarət etdiyi destructor pointer-inə keçid edə bilir.

Niyə bu qədər təhlükəlidir
Hücum istifadəçi kodundan əvvəl baş verir: upload progress-i session layer request parse olunan anda emal edir. Tətbiq faylı heç qəbul etməsə belə, POST qəbul edən istənilən endpoint hədəfdir (baxma: Session və cookie).

session.upload_progress.enabled default olaraq On-dur — xüsusi konfiqurasiya lazım deyil.
Bütün web SAPI-lər təsirlənir: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed (baxma: PHP-FPM). Ən yüksək risk mod_php-dədir.

Təsirlənən versiyalar: PHP 5.4-dən 8.5-ə qədər. Web-də server tərəfi dili məlum olan saytların təxminən 69%-i PHP işlədir.

Həll yolu
Təhlükəziz yaması versiyalara update etmək.
Düzəldilmiş versiyalar: 8.5.12, 8.4.27, 8.3.36 və 8.2.35. 8.1 və köhnə versiyalar üçün rəsmi release yoxdur.

Xronologiya

2024 — PHP core developer-lərindən biri audit zamanı yaddaş tükənəndə (OOM) baş verən baqı görür. Komanda düzəlişin necə olacağı barədə razılaşa bilmir və məsələ kənarda qalır.

Avqust 2026 — Calif şirkətindən Ryan Austin AI köməyi ilə zəiflikləri tapır. Wiz də onları müstəqil şəkildə tapır. PHP komandasına xəbər verilir, açıqlama 22 oktyabra planlaşdırılır.

17 oktyabr — Amazon öz tələ serverlərində (honeypot) ilk istismar cəhdini qeydə alır. Bu, rəsmi açıqlamadan 4 gün əvvəl olur.

20 oktyabr — sızma. Planlaşdırılmış tarixdən 2 gün əvvəl detallar Hacker News-da yayılır. watchTowr X-də bu barədə yazır, Calif isə səhvən exploit-in işlədiyini göstərən videonu paylaşır. PHP php.net-də xəbərdarlıq yerləşdirir: yamaq sabah saat 14:00 UTC-də çıxacaq.

21 oktyabr, yamaqdan əvvəl — Cloudflare açıqlamadan təxminən 9 saat əvvəl hücum sorğularını bloklayan WAF qaydalarını bütün müştərilərinə, pulsuz plan da daxil olmaqla, qoşur. Cloudflare-in CTO-su bunun yalnız müvəqqəti tədbir olduğunu, yeniləmənin şərt olduğunu vurğulayır. Bu vaxt Chainguard düzəldilmiş paketləri rəsmi vaxtdan əvvəl yayımlayır, nəticədə hücumçular dəyişən kodu görə bilir. PHP Foundation bunu kəskin tənqid edir.

21 oktyabr, 14:00 UTC — yamaq. PHP 8.5.12, 8.4.27, 8.3.36 və 8.2.35 versiyalarını çıxarır. EOL olan 7.4, 8.0 və 8.1 üçün yalnız source patch-lər var. Həmin gün Ubuntu, Debian, Red Hat, cPanel, CloudLinux və Ondřej Surý də öz paketlərini yayımlayır.

21 oktyabr — hücum dalğası. Cloudflare saatlar ərzində milyonlarla istismar cəhdi qeydə alır, watchTowr da öz tələ serverlərində cəhdlər görür. Lakin bu cəhdlərin real sistemlərə qarşı uğurlu olub-olmadığı təsdiqlənmir.

20–21 oktyabr — dövlətlər saytlarını bağlayır. Yamaq gözlənilərkən dövlətlər ehtiyat tədbiri görür:
• ABŞ: NSA tövsiyə edir ki, dərhal yeniləyə bilməyənlər sistemi offline etsin. CISA isə həmin gün istismar müşahidə etmədiyini bildirir.
• Böyük Britaniya: NCSC xəbərdarlıq edir və serverlərdə arxa qapı (backdoor) qalıb-qalmadığını yoxlamağı tövsiyə edir. Edinburq və Oksford bələdiyyələrinin, London polisinin (Met Police) saytları müvəqqəti bağlanır.
• Avropa: CERT-EU və NCSC-nin tövsiyəsi ilə bir çox ölkə saytlarını bağlayır. Finlandiya bütün dövlət saytlarını, Niderland Overheid.nl portalını, Fransa isə Daxili işlər Nazirliyinin bütün saytlarını müvəqqəti söndürür. Danimarkada milli məktəb platforması, Belçikada iri saytlar dayanır. Çexiya hökumətinin və Almaniyanın federal IT provayderi ITZBund-un da saytlarını bağladığı bildirilir.
• Kanada: Kanada Kibertəhlükəsizlik Mərkəzinin tövsiyəsi ilə bəzi dövlət saytları müvəqqəti bağlanır.
• Yaponiya: Milli kibertəhlükəsizlik ofisi təcili yeniləməyə çağırır. Umamusume və Granblue Fantasy kimi oyunlar, BASE və Sakura hostinq təcili texniki xidmətə keçir.

21 oktyabr — böyük platformalar. Wikimedia Foundation bir çox köməkçi servisini söndürür. 4chan və Something Awful offline olur, Internet Archive qısa müddət bağlanır.

22 oktyabr — Sinqapurun kibertəhlükəsizlik agentliyi (CSA) təcili yeniləməyə çağırır. HKCERT (Honq-Konq) hər iki CVE-nin istismar olunduğunu yazır, Niderlandın NCSC-si isə ilk uğurlu hal əlamətlərini araşdırdığını bildirir. Sansec-ə görə ictimai exploit-lər default PHP quraşdırmasında işləmir, ona görə kütləvi istismar ehtimalı əvvəl düşünüləndən azdır. PHP Foundation da işlək exploit görmədiyini deyir.

23 oktyabr — CISA hər iki CVE-ni hələ də istismar olunanlar kataloquna (KEV) əlavə etməyib. Ondřej Surý PHP 5.6–7.1 üçün də tam düzəliş paketlərini çıxarır.