Dy dobësi kritike në PHP, serverët rrezikohen nga sulmet kibernetike
Qendra Kombëtare për Siguri Kibernetike (KOS-CERT) ka lëshuar një paralajmërim për dy dobësi kritike të sigurisë në PHP, të cilat mund t’u mundësojnë sulmuesve të ekzekutojnë kode keqdashëse në distancë, pa pasur nevojë për autentikim.
Sipas njoftimit të publikuar më 21 tetor 2026, dobësitë janë identifikuar si CVE-2026-109618 dhe CVE-2026-109619, të dyja me nivel rrezikshmërie 9.2 nga 10 sipas sistemit CVSS.
KOS-CERT paralajmëron se shfrytëzimi i këtyre dobësive mund të rrezikojë seriozisht të dhënat, aplikacionet dhe rrjetet e organizatave që përdorin versione të cenueshme të PHP-së.
Rreziku konsiderohet edhe më i lartë pasi demonstrimet fillestare teknike të shfrytëzimit kanë nisur të qarkullojnë publikisht.
Cilat versione janë të rrezikuara?
Sipas paralajmërimit, të prekura janë versionet e PHP-së më të vjetra se 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35. Rreziku përfshin gjithashtu versionet 8.1 dhe më të vjetra, të cilat nuk marrin më përditësime të rregullta të sigurisë.
KOS-CERT u bën thirrje organizatave dhe administratorëve të sistemeve që të përditësojnë menjëherë PHP-në, të kontrollojnë instalimet ekzistuese dhe të monitorojnë çdo aktivitet të dyshimtë në serverët e tyre.
Në rastet kur përditësimi nuk mund të realizohet menjëherë, rekomandohet izolimi i përkohshëm i shërbimeve të ekspozuara në internet për të zvogëluar mundësinë e sulmeve.
Institucioni thekson se masat e përkohshme nuk e eliminojnë plotësisht rrezikun dhe se instalimi i versioneve të korrigjuara mbetet mënyra kryesore për mbrojtjen e sistemeve.
