Segurtasunaren arduradun den taldea PHP ekosisteman bi akats kritiko daudela agerian utzi du, kodearen urruneko exekuzioa (RCE) ahalbidetzen dutenak eta WordPress, MediaWiki edo Symphony bezalako plataformetan eragina dutenak, beste batzuen artean. Egoera honek segurtasun-patch bat azkar kaleratzea eragin du asteazken honetan eta hainbat webgune eta aplikazio web segurtasun arrazoiengatik prebentzioz isolatzea eragin du mundu osoan.
PHP kode irekiko programazio lengoaia da, webgune eta aplikazioen garapenerako oso hedaturik dagoena, gainera, formularioak kudeatzeko, erabiltzaileen saioak kontrolatzeko edo datu-baseetara kontsultak egiteko erabiltzen da. Horregatik, interneten presentzia masiboa da eta garatzaileentzat oinarrizko tresna bat da maila globalean.
Testuinguru honetan, PHP ekosisteman kodearen urruneko exekuzio bi ahultasun identifikatu dira, CVE-2026-109618 eta CVE-2026-109619 bezala katalogatuta. Biak 10etik 9,2 puntuazio lortu dute CVSS 4.0 irizpidean, kritikalitate maila altuenean kokatuz.
Arazo hauek konpontzeko, PHP taldeak asteazken honetan, urriaren 21ean, segurtasun eguneratze bat argitaratuko duela adierazi du. Aldi berean, PHP erabiltzaile guztiei "lanzamendua eskuragarri egon bezain laster" patch-a aplikatzeko prest egoteko eskatu die, web ofizialean eta X sare sozialeko argitalpenean azaldu duten bezala.
Ahultasunak watchTowr zibersegurtasun enpresak dokumentatu ditu, akats hauek "PHP2shell" bezala ezagutzen direla azalduz eta erasotzaile batek kode propioa exekutatzeko aukera emango liekeela konprometitutako zerbitzarian, webguneak modu gaiztoan aldatzeko edo informazioa lapurtzeko kontrola lortuz.
Ikertzaileek gainera zehaztu dute bi akatsak PHP lengoaia osoko adar guztiei eragiten dietela, PHP 5etik aurrera, baina momentuz ahultasun hauen ustiapen aktiboen kasurik ez dela jakinarazi.
Praktikan, akats hauen potentzial irismena sarearen zatirik handienean hedatzen da. Adibide argi bat WordPress da: plataforma hau erabiltzen duten webgune guztiak PHP duten zerbitzarietan exekutatzen dira, interneteko orrien %40 inguru ordezkatuz. Horrela gogorarazi du enpresak bere blogean, non baita adierazten duen webguneen administratzaileek PHP eskuz eguneratu beharko dutela.
Paraleloki, Europako Batasuneko Larrialdietarako Erantzun Taldeak jakinarazpen bat zabaldu du ahultasun hauei buruz eta horiek zuzentzeko aurreikusitako patch-ari buruz. Jakinarazpen horretan, aholkatzen da eguneratzea berehala aplikatu ezin duten entitateek "internetera orientatutako aplikazioak sare publikoetatik isolatzea kontuan hartu beharko luketela irtenbide bat eskuragarri izan arte".
Eguneratze publikazioa asteazkenerako finkatu da 14:00 UTC orduetan, Espainiako penintsulan 16:00 orduetara baliokidea dena.
Patch-a eskuragarri eta ezarrita egon arte, hainbat zerbitzu eta web orri prebentzioz isolatu dira mundu mailan. WordPress-en web ofizialaren kasuan, informazioa idazteko unean, jakinarazpen bat agertzen da, non azaltzen den bere zerbitzuak momentuz ez daudela operatibo "PHP2Shell ahultasunaren aurkako arintze neurriak aplikatzen ari direla, oraindik patch-a ez dagoelako".
Bestalde, Cloudflare-ko teknologia zuzendari Dane Knecht-ek X-n argitaratutako batean adierazi du "goiztiar erasoak" detektatu dituztela PHP erabiltzen duten webguneen aurka. Horregatik, enpresak "neurrien arintzeak ezarritako berri agertzen direnean" ezartzen ari da, PHP taldeak eguneratze definitiboa argitaratu arte.