PHP 8.2.35 ispravlja dvije kritične ranjivosti koje omogućuju udaljeno izvršavanje koda

PHP development tim je objavio PHP 8.2.35, sigurnosni release koji ispravlja ranjivosti CVE-2026-109618 i CVE-2026-109619. Prema objavi, obje mogu omogućiti udaljeno izvršavanje koda bez autentikacije. Svim korisnicima PHP-a 8.2 savjetuju hitan update.

Tim navodi da ne postoje potpune mitigacije. Update je jedini siguran izbor. Detalji su u sigurnosnoj obavijesti (security advisory) na stranicama projekta.

PHP 8.2 dolazi do kraja podrške (end of life) 31. prosinca 2026. godine. Nakon tog datuma neće dobivati nikakve sigurnosne ispravke. Iz tima pozivaju korisnike da planiraju prelazak na verziju koja je još podržana.

Preuzimanje

Izvorni kod PHP-a 8.2.35 dostupan je na stranici za preuzimanje (downloads page). Na istoj stranici nalaze se Windows source i binarne datoteke. Popis svih promjena nalazi se u ChangeLogu.

Administratori i developeri trebaju provjeriti koju verziju PHP-a 8.2 koriste na produkcijskim serverima, u Docker imageima i na shared hostingu. Ranjivosti omogućuju izvršavanje koda bez prijave, pa su najizloženiji javno dostupni servisi.

Rok podrške za granu 8.2 je blizu, pa je dobro odmah razmotriti i dugoročniju migraciju. Nakon 31. prosinca 2026. godine svaka nova ranjivost u toj verziji ostat će neispravljena.