# CVE-2026-109619: RCE minn stat globali skadut

> CVE-2026-109619 spjegata sempliċi: għaliex stat intern bejn it-talbiet isir perikoluż, liema verżjonijiet ta' PHP huma rranġati u kif tissiguraw is-server.

Sors: https://phpsos.de/mt/php2shell/cve-2026-109619/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** CVE-2026-109619 hija t-tieni vulnerabbiltà wara PHP2Shell. Stat intern li jappartjeni għal talba jista' jibqa' wara li titneħħa l-memorja; talba aktar tard fl-istess worker tista' tużah qabel ma jiġi rrisettjat. Il-konsegwenza hija eżekuzzjoni ta' kodiċi mingħajr login. Rimedju: aġġornament għal PHP 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 u restart tal-workers kollha.

## X'inhi CVE-2026-109619?

CVE-2026-109619 (identifikatur GitHub GHSA-6wmf-4rv5-p3rp) għandha klassifikazzjoni CVSS v4.0 ta' 9,2. Flimkien ma' [CVE-2026-109618](https://phpsos.de/mt/php2shell/cve-2026-109618/) tifforma PHP2Shell. Iż-żewġ vulnerabbiltajiet jinsabu f'PHP innifsu u mhux f'applikazzjoni.

L-effett huwa l-istess bħal fil-vulnerabbiltà oħt: attakkant jista' mill-bogħod, mingħajr password u mingħajr kont ta' utent, jesegwixxi kodiċi fuq is-server. Il-kawża, madankollu, hija differenti.

## Għaliex stat skadut fil-worker huwa perikoluż

Server tal-web tal-PHP ma jibdix proċess ġdid għal kull talba. B'PHP-FPM, Apache b'mod_php, LiteSpeed jew FrankenPHP, worker wieħed jipproċessa ħafna talbiet wara xulxin. Bejn żewġ talbiet PHP jirrisettja l-istat intern tiegħu, biex xejn mit-talba A ma jaqa' fit-talba B.

F'CVE-2026-109619 dan ir-risettjar ma jaħdimx kompletament. Skont php.net, stat intern li jappartjeni lit-talba jista' jibqa' wara li titneħħa l-memorja. Talba aktar tard fl-istess worker tista' tuża dan l-istat skadut qabel ma jiġi rrisettjat. B'mod simplifikat: xi ħaġa tinqeda għal darb'oħra li fil-fatt m'għadhiex valida.

Mill-lat tat-tħaddim dan huwa notevoli. L-użu mill-ġdid tal-workers huwa mixtieq, għax jagħmel is-servers tal-web mgħaġġla: worker m'għandux bżonn jerġa' jinbeda għal kull talba, iloadja estensjonijiet u joħloq memorja. Il-vulnerabbiltà għalhekk taffettwa karatteristika li għandha prattikament kull installazzjoni produttiva ta' PHP. php.net ma jsemmi ebda konfigurazzjoni li tevita l-problema kompletament; għalhekk it-triq tgħaddi mill-aġġornament.

Dettalji dwar l-isfruttament ma nippubblikawhomx. Għall-operaturi jgħodd dan: kull modalità tat-tħaddim fejn il-workers jaqdu diversi talbiet għandha tinżamm taħt għajnejn, u eżattament dawn il-modalitajiet huma dawk tas-soltu.

## Iż-żewġ vulnerabbiltajiet ta' PHP2Shell imqabbla

| Karatteristika | CVE-2026-109618 | CVE-2026-109619 |
|---|---|---|
| Identifikatur GitHub | GHSA-w8hw-w9fx-j79w | GHSA-6wmf-4rv5-p3rp |
| Klassifikazzjoni | CVSS v4.0 9,2 | CVSS v4.0 9,2 |
| Kawża | Out-of-memory waqt l-inizjalizzazzjoni tad-data tat-talba | Stat intern jibqa' wara t-tneħħija tal-memorja |
| Effett | Eżekuzzjoni ta' kodiċi mingħajr login | Eżekuzzjoni ta' kodiċi mingħajr login |
| Rranġata fi | 8.5.12, 8.4.27, 8.3.36, 8.2.35 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |

Huma affettwati PHP-FPM, Apache b'mod_php, php-cgi, FrankenPHP u LiteSpeed. L-ogħla riskju t-tim ta' PHP jarah f'mod_php; għaliex nispjegawh f'[Għaliex mod_php għandu l-ogħla riskju](https://phpsos.de/mt/php2shell/mod-php-risiko/).

## Agħlqu CVE-2026-109619: aġġornament, imbagħad restart tal-workers kollha

Preċiżament f'din il-vulnerabbiltà r-restart huwa deċiżiv. Sakemm workers qodma jibqgħu jaħdmu fil-memorja, is-server ikompli jaħdem bil-kodiċi difettuż, anke jekk il-fajls il-ġodda jkunu diġà fuq id-disk.

Iċċekkjaw il-verżjoni u l-istat tal-pakkett. L-ismijiet tal-pakketti jvarjaw skont id-distribuzzjoni u l-interface tal-hoster:

```bash
php -v
php-fpm8.3 -v                  # il-binarju FPM jista' jkollu verżjoni differenti mis-CLI
apt policy php8.3-fpm          # Debian/Ubuntu
dnf info php-fpm               # familja RHEL
rpm -q --changelog php-fpm | grep -i "CVE-2026-109619"
```

Imbagħad erġgħu ibdew is-servizzi affettwati kollha:

```bash
sudo systemctl restart php8.3-fpm     # għal kull verżjoni installata ta' PHP
sudo systemctl restart apache2        # b'mod_php; taħt RHEL is-servizz jissejjaħ httpd
```

Jekk id-distribuzzjoni jew il-hoster tagħkom jinstalla backport, in-numru tal-verżjoni murija jista' jibqa' l-istess. Allura jgħoddu l-changelog tal-pakkett u l-konferma bil-miktub tal-fornitur. Verifika pass pass issibuha f'[Restart ta' PHP-FPM u tal-workers kollha](https://phpsos.de/mt/php2shell/php-fpm-neustart/).

> **Suġġeriment:**
> Innutaw id-data u l-ħin tar-restart. Għall-evalwazzjoni aktar tard jekk attakk seħħx qabel jew wara l-patch, dan il-ħin huwa l-aktar punt ta' referenza importanti.

## X'jibqa' xi jsir wara l-patch

Patch ma jippruvax li qabel ma ġara xejn. Skont rapporti tal-midja, l-ewwel tentattiv ta' attakk ġie osservat fis-17 ta' Ottubru, erba' ijiem qabel il-patches. Żommu l-logs tas-server mill-20 ta' Ottubru 'il quddiem, kif tirrakkomanda l-istampa speċjalizzata, u ivverifikaw is-server għal anomaliji. Indikazzjonijiet jagħti l-paġna [Diġà kompromessi?](https://phpsos.de/mt/php2shell/bin-ich-gehackt-anzeichen/).

Ftakru fil-firxa: f'eżekuzzjoni ta' kodiċi b'suċċess l-attakkant għandu d-drittijiet tal-proċess ta' PHP. Jista' jaqra dak li l-applikazzjoni tista' taqra, pereżempju fajls tal-konfigurazzjoni b'aċċessi tad-database jew ċwievet tal-API. Jekk jiġi kkonfermat inċident, dawn l-aċċessi jridu jiġu ġġedda wara t-tindif.

## Kif tgħin PHP SOS b'mod konkret?

Bis-[servizz ta' patch ta' PHP](https://phpsos.de/mt/leistungen/php-patch-service/) nimplimentaw il-korrezzjoni b'mod li jista' jiġi segwit:

- **Niġbru:** Liema verżjonijiet u modalitajiet tat-tħaddim ta' PHP jaħdmu fuq liema server, u liema sors tal-pakketti jipprovdihom?
- **Nippatchjaw:** Aġġornament mis-sors it-tajjeb jew miżuri temporanji skont php.net, fejn l-aġġornament għadu mblukkat.
- **Niċċekkjaw ir-restart:** Niċċekkjaw proċess wara proċess li qed taħdem biss il-verżjoni rranġata.
- **Niddokumentaw:** Verżjonijiet, stati tal-pakketti u ħinijiet tar-restart, biex tkunu tistgħu tippruvaw l-istat.


## Mistoqsijiet frekwenti

**X'jiddistingwi CVE-2026-109619 minn CVE-2026-109618?**  
CVE-2026-109618 tinħoloq meta kundizzjoni out-of-memory tinterrompi t-talba f'nofs l-inizjalizzazzjoni. CVE-2026-109619 tikkonċerna stat li jibqa' fil-worker wara t-tmiem ta' talba. It-tnejn iwasslu għal eżekuzzjoni ta' kodiċi mingħajr login u huma rranġati fl-istess verżjonijiet ta' PHP.

**Jgħin jekk inerġa' nibda l-workers ta' PHP-FPM aktar spiss?**  
Bħala sostitut tal-aġġornament mhuwiex adattat. php.net ma jsemmix restarts aktar frekwenti tal-workers bħala miżura temporanja. Il-workers madankollu jridu jerġgħu jinbdew wara l-aġġornament, biex il-verżjoni korretta tkun taħdem tassew.

**Aġġornament tas-CMS jipproteġini minn CVE-2026-109619?**  
Le. Il-vulnerabbiltà tinsab f'PHP u mhux f'WordPress, Shopware, TYPO3 jew xi sistema oħra. Biss aġġornament ta' PHP jew backport ikkonfermat tal-fornitur jagħlaqha.

**Hemm traċċi magħrufa ta' attakk permezz ta' CVE-2026-109619?**  
Indicators of Compromise ikkonfermati għadhom ma ġewx ippubblikati. Is-skoperta tistrieħ fuq analiżi tal-imġiba, pereżempju fajls ġodda tal-PHP, konnessjonijiet ħierġin mhux tas-soltu jew cronjobs mhux magħrufa.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)