V PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35 jsou po včerejšku opraveny dvě zásadní chyby, které umožňovaly vzdálené spuštění kódu.

Who is at risk: all PHP installations serving web requests, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed. We consider the risk highest for mod_php, with a demonstrated exploit where an unauthenticated request can trigger the attack before any application code runs.

Ondřej Surý backportoval záplatu na některé předchozí verze PHP, které nadace PHP.net oficiálně neaktualizovala.

Pokud na svém webu nebo v online projektu používáte PHP, tak se podívejte, zda váš poskytovatel hostingu již zajistil aktualizaci PHP.