Hírolvasó

Overview

Two memory-related vulnerabilities have been identified in PHP versions prior to 8.2.35, 8.3.36, 8.4.27, and 8.5.12. An unauthenticated remote attacker with network access to PHP web services can exploit these vulnerabilities via specially crafted HTTP requests to potentially achieve arbitrary code execution.

Description

PHP is a widely used open-source scripting language designed for web development and server-side applications. It powers millions of websites and web applications worldwide and can be deployed through a variety of server configurations, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP, and LiteSpeed.

CVE-2026-109618: A memory corruption vulnerability exists in the out-of-memory (OOM) handling mechanism of PHP versions prior to 8.2.35, 8.3.36, 8.4.27, and 8.5.12. The vulnerability occurs when an OOM condition interrupts request processing while internal request data is only partially initialized; subsequent cleanup routines may access the invalid memory, potentially causing memory corruption and enabling arbitrary code execution.

CVE-2026-109619: A use-after-free vulnerability exists in the global state management of PHP versions prior to 8.2.35, 8.3.36, 8.4.27, and 8.5.12. The vulnerability occurs when a worker retains a reference to request-owned state after its backing memory has been freed. A subsequent request handled by the same worker can access this stale state before normal request initialization resets it, potentially causing memory corruption and enabling arbitrary code execution.

Impact

Successful exploitation of these vulnerabilities allows an unauthenticated attacker to remotely execute arbitrary code via specially crafted HTTP requests, compromising the confidentiality, integrity, and availability of the web service and underlying infrastructure. Apache mod_php deployments are at particularly high risk, as proof-of-concept exploitation has demonstrated that unauthenticated requests can trigger the attack before any application code executes.

Solution

Refer to the Vendor Information section below for newly patched versions of PHP that remediate these vulnerabilities. All PHP users are strongly encouraged to update immediately to PHP 8.2.35, 8.3.36, 8.4.27, or 8.5.12. Source downloads are available on the official PHP release page at php.net/downloads.

Linux users are advised to check with their distribution vendor for updated packages, as many distributions received patches in advance. For PHP 8.1 and older versions that no longer receive official updates from the PHP project, contact your LTS vendor for backported fixes or upgrade to a supported version. The PHP security team has provided limited source backports for PHP 7.4, PHP 8.0, and PHP 8.1 to assist users building from source or without access to an LTS vendor.

If immediate patching is not feasible, the following temporary mitigation measures may reduce exposure to specific attack paths, though they do not provide complete protection. Because these vulnerabilities are closely related, mitigations for both CVEs should be applied:

For CVE-2026-109618 (OOM Corruption):

• Set memory_limit=-1 at an administrative level so it cannot be overridden by applications, for example via php_admin_value in the FPM pool or Apache configuration.
• Set a low post_max_size (8M for applications without file uploads, 32M if uploads are necessary).
• Keep upload_max_filesize below post_max_size.
• Enforce limits at the web server or proxy level for decoded request-body size, input variable count, multipart part count, header count, and nesting depth.
• Use container or cgroup limits as an availability boundary with policies that kill only the affected worker. Notably, RLIMIT_AS or RLIMIT_DATA should not be used to bound memory, as these cause mmap() to fail once the limit is reached, triggering the vulnerable code path rather than preventing it.

For CVE-2026-109619 (Stale Global State):

• Set session.upload_progress.enabled=0 in php.ini, FPM pool, or server configuration and restart all workers.
• On PHP 8.5, set fatal_error_backtraces=0 and restart all workers.
• Remove invalid or deprecated settings applied per request that emit diagnostics before initialization.
• Remediate attacker-reachable fatal errors and execution timeouts.

System owners can limit the potential impact of successful exploitation by implementing network segmentation and ensuring that PHP installations are configured to run with minimum necessary privileges. Users are advised to monitor closely for unusual PHP process behavior or unexpected memory allocation patterns.

Acknowledgements

Thanks to OpenAI, Wiz, and Ryan at Calif.io for reporting these vulnerabilities. This document was written by Molly Jaconski.

A két kritikus PHP-sérülékenység kezelése világszerte rendkívüli üzemeltetési akcióvá vált. Ahogy a tegnap kiadott riasztásunkban is felhívtuk a figyelmet, a CVE-2026-109618 és CVE-2026-109619 javításai megjelentek, ugyanakkor több szervezet a frissítés előkészítése érdekében átmenetileg leállította webes szolgáltatásait, és a fenyegetettségi megfigyelők már támadási kísérletekről is beszámolnak. A PHP projekt október 21-én tette közzé a javított kiadásokat, […]

A PHP Foundation szerdai közleményében részletesen ismertette annak a két kritikus PHP-sérülékenységnek a hátterét, amelyek világszerte jelentős aggodalmat váltottak ki a kiberbiztonsági szakemberek körében.

A Siemens megerősítette, hogy támadók aktívan kihasználják a Siemens Software Center CVE-2026-110936 azonosítójú sérülékenységét. A támadás során a program eredeti, érvényes digitális aláírással rendelkező példányát használták fel saját kártékony DLL-fájljaik betöltésére. A vállalat a hibát a 4.0.9.8-as verzióban javította. A meglévő telepítések az alkalmazás következő indításakor automatikusan frissülnek. A Siemens szerint a támadók nem módosították […]

Kedden reggel széles körű üzemzavar sújtotta a Revolut nevű fintech céget. Az alkalmazás, a mobilbanki szolgáltatások és a számlák közötti átutalások világszerte akadozni kezdtek. A Downdetector kiesésfigyelő oldalon több ezer felhasználó jelzett hibát. A cég állapotjelző oldala szerint összesen 28 szolgáltatás volt részlegesen elérhetetlen, köztük a bejelentkezés, a kártyás fizetés, a pénzváltás, a tőzsdei kereskedés és az élő ügyfélchat.

Overview

An authentication bypass vulnerability in the Xerj Console API allows sessions to bypass passkey-backed requirements during token issuance. By exploiting this flaw, an attacker with an existing valid token can create independent, persistent successor credentials directly through the console API. This allows the attacker to maintain access and potentially escalate privileges within the Xerj ecosystem, even if the initial token is revoked.

Description

Xerj is an open-source search and indexing engine tailored specifically for AI agents utilizing the Elasticsearch API, allowing AI models to query a structured index.

The vulnerability, CVE-2026-97406, stems from a flaw in how session states are authenticated and handled within the Xerj system architecture. According to the documented security contract, the issuance of new API tokens must be strictly authorized by a passkey-backed session. However, the Xerj implementation converts both standard browser sessions and API bearer tokens into the same generic AuthSession object. The token creation handler then accepts this generalized principal without verifying whether the session was authenticated via a passkey.
Because of this architectural oversight, an attacker who obtains or intercepts a valid Xerj API token can directly invoke the token creation endpoint, allowing them to create independent successor credentials with the same access levels of the original token. Furthermore, the Xerj platform lacks hierarchical revocation logic; consequently, revoking a compromised parent token has no effect on any descendant tokens spawned from it.

Impact

Exploiting this vulnerability allows an attacker to gain persistent, unauthorized access that completely bypasses multi-factor controls. The security risk escalates significantly if the compromised token belongs to a Xerj account owner. In this scenario, the newly created successor token retains full administrative authority. An attacker can use this persistent access to issue a new account invitation, redeem it in their own browser, and successfully enroll an entirely independent, attacker-controlled passkey. This grants the attacker permanent control over the Xerj instance and its sensitive data indices, rendering the revocation of the initial token completely ineffective.

Solution

The vendor could not be reached to coordinate this vulnerability and an official patch has not been made available at the time of this writing. Users are advised to monitor the project's GitHub repository for updates and install the latest version of this library once a fix has been released.

Acknowledgements

Thanks to the reporter, Shiran Guez, a Principal Application Security Architect.

This document was written by Laurie Tyzenhaus.

Egy orosz kémkedő csoport NATO-tagországokban működő rendvédelmi szervet, hadihajókat építő vállalatot, valamint katonai repülőgépmotorokat gyártó céget is megfigyelt. A feltárt esetek közül a hajógyár elleni támadás mutatja meg a legrészletesebben, hogyan dolgoztak a behatolók. Nemcsak bejutottak a hálózatba, hanem több héten át visszatértek, belépési adatokat próbáltak megszerezni, és tartós kapcsolatot alakítottak ki a belső rendszerrel. […]

Egy MikroTik hálózati eszközöket célzó kártevő vizsgálata során egy kevéssé elterjedt TILE-Gx processzorarchitektúrára fejlesztett backdoor-t azonosítottak. A Tessera nevű kártevő fájlátvitelre, parancsok távoli végrehajtására és titkosított kommunikációra is képes. A vizsgálat egy olyan kártevőmintából indult ki, amelyet az elemzés időpontjában a víruskereső motorok nem ismertek fel. A minta a MikroTik CCR1000-es sorozatú routereit célozza. Ezeket […]

A ConnectWise informatikai menedzsment szoftvereket fejlesztő vállalat hétvégén több szolgáltatását leállította, miután a Microsoft és más kiberbiztonsági cégek egy ellátási lánc elleni támadásra figyelmeztettek, amely a cég felhőalapú mentési rendszerét érintette.

Az F5 soron kívüli frissítéseket adott ki három kritikus NGINX hiba javítására. Mindegyik hitelesítés nélkül, távolról kihasználható, de csak meghatározott, nem alapértelmezett konfigurációkban. A legrosszabb esetben memóriakorrupció vagy kódfuttatás is előfordulhat. A CVE-2026-15176 és a CVE-2026-93479 heap-alapú puffertúlcsordulás, a CVE-2026-97205 pedig use-after-free hiba. Mindegyik az NGINX worker folyamatát érinti, és szolgáltatáskimaradást, memóriakorrupciót vagy akár kódfuttatást […]

Az OpenCode egy nyílt forráskódú, mesterséges intelligenciát alkalmazó programozási eszköz, amely többek között az OpenAI, az Anthropic és a Google nyelvi modelljeinek használatát támogatja. A szolgáltatáshoz kapcsolódó OpenCode Console lehetővé teszi, hogy a felhasználók saját API-kulcsaikat központilag tárolják, és azokon keresztül szerezzenek hozzáférést a különböző MI-szolgáltatásokhoz. A vállalat október 17-én kiberbiztonsági incidenst jelentett, amely következtében […]

A Unit 42 szerint egy 2024 szeptemberi támadás során egyetlen FortiManager feltörése elég volt ahhoz, hogy a támadók megszerezzék egy távközlési szolgáltató és ügyfelei több mint 500 tűzfalának jelszavait, titkosítási kulcsait és hálózati térképét. Utána olyan kártevőt telepítettek, amely nem hagy fájlt a lemezen, nem nyit portot, és nem indít saját internetkapcsolatot. A kutatók a […]

Egy legalább 2010 óta jelen lévő hiba a Broadcom saját 802.11-es Wi-Fi implementációjában lehetővé teszi, hogy egy jelhatótávolságon belül tartózkodó támadó hitelesítés nélkül kódot futtasson az érintett routereken. Quentin Kaiser biztonságkutató a párizsi Hexacon konferencián mutatta be a sérülékenységet, amely a WPS EAP üzenetek újraösszeállítását végző kódban található, és a Wi-Fi jelszó ismerete vagy normál WPS-párosítás nélkül is kihasználható.

Az indiai kiberbiztonsági hatóság, a CERT-In tájékoztatása szerint tesztelés alatt álló mesterséges intelligencia modellek jogosulatlanul fértek hozzá indiai szervezetek éles rendszereihez és bizalmas nyilvántartásokhoz. Ez az első ilyen hivatalos indiai beszámoló, miután világszerte több hasonló esetben is beszámoltak az MI-rendszerek nem megfelelő, önálló viselkedéséről. Az érintett vállalatok nem észlelték a behatolásokat, az incidenseket minden esetben […]

A Canva megerősítette, hogy egy harmadik féltől származó eszközt érintő kiberbiztonsági incidens során illetéktelenek hozzáférhettek egyes vállalati ügyfelek adataihoz. A Seven Deadly Sins nevű zsarolóvírus-csoport magára vállalta a támadást, és azt állítja, hogy az érintett adatokat már értékesítette. A Canva Ausztrália egyik legismertebb technológiai vállalata, amely az azonos nevű, ingyenesen használható grafikai tervezőplatformjával vált ismertté. […]

A Google bejelentette, hogy egy új, mesterséges intelligencia alapú védelem bevezetésével igyekeznek felvenni a harcot a csaló üzenetekkel és a hamis telefonhívásokkal Androidon. A Google elmondása szerint napjainkban a mobilcsalások messze túlmutatnak az automata robothívásokon és adathalászüzeneteken, ugyanis a mesterséges intelligencia miatt, például a hangklónozásnak köszönhetően, egyre kifinomultabbak a támadások is. A techóriás azt is […]

Egy új kutatás szerint világszerte célzott online hirdetéseken keresztül terjesztenek fejlett, felhasználói interakciót nem igénylő zero-click kémszoftvereket.

A hét beszámolói a központi menedzsmentrendszerek és az AI-platformok sérülékenységeire, valamint a célzott megfigyelés új módszereire irányították a figyelmet. Egy FortiManager kompromittálása több mint ötszáz tűzfal konfigurációját érintette, A Langflow sérülékenységét célzó kihasználási kísérleteket pedig honeypot rendszerekben észlelték. Kutatók reklámok megjelenítésével indított, kattintást nem igénylő kémprogram-fertőzéseket is igazoltak. A szolgáltatáskiesések, valamint a japán Burger Kinget […]

A kiberbűnözők egyre gyakrabban használnak ki olyan széles körben ismert online szolgáltatásokat, mint a DocuSign, a QuickBooks, az Adobe Sign vagy a Google Drive, hogy megtévesszék a felhasználókat és átjussanak az e-mail biztonsági szűrőkön. A módszer különösen megtévesztő, mert a csaló üzenetek nem feltétlenül hamis feladótól érkeznek, sok esetben valóban a megnevezett szolgáltatás küldi ki […]

Egy új, QuartzLine néven álcázott Windows-program látszólag egyszerű PDF-nézegető. Lehet vele fájlt megnyitni, keresni, nagyítani és oldalak bélyegképei között böngészni. A valóságban azonban a programban egy rejtett hátsó ajtó, a „zenith” modul rejtőzik, amely a fertőzött gépet támadói szerverhez köti, és onnan várja az utasításokat.