php2shell vulnerabilities (CVE-2026-109618, CVE-2026-109619)

परिचालन संबंधी जानकारी में अंतिम महत्वपूर्ण परिवर्तन: 21 अक्टूबर 2026 17:25 CEST सॉफ़्टवेयर सूची की अंतिम स्थिति अद्यतन: 22 अक्टूबर 2026 17:23 CEST TLP:CLEAR

यह रिपॉज़िटरी CERT-EU द्वारा CVE-2026-109618 और CVE-2026-109619 के रूप में ट्रैक किए गए गंभीर PHP कमज़ोरियों से संबंधित परिचालन संबंधी जानकारी प्रदान करती है।

PHP एक व्यापक रूप से उपयोग की जाने वाली ओपन-सोर्स सर्वर-साइड स्क्रिप्टिंग भाषा है, इसलिए ये कमज़ोरियाँ इंटरनेट-फेसिंग वेब अनुप्रयोगों और उन उत्पादों की एक विस्तृत श्रृंखला को प्रभावित कर सकती हैं जो PHP को एम्बेड करते हैं या उस पर निर्भर हैं।

वर्तमान स्थिति

21 अक्टूबर 2026 को, PHP ने CVE-2026-109618 और CVE-2026-109619 के लिए निश्चित रिलीज़ प्रकाशित किए: PHP 8.5.12, 8.4.27, 8.3.36 और 8.2.35। PHP का कहना है कि दोनों कमज़ोरियाँ अनधिकृत रिमोट कोड निष्पादन की अनुमति दे सकती हैं और वेब अनुरोधों को पूरा करने वाली सभी PHP इंस्टॉलेशन जोखिम में हैं, जिनमें PHP-FPM, mod_php के साथ Apache, php-cgi, FrankenPHP और LiteSpeed शामिल हैं। PHP mod_php के लिए जोखिम को सबसे अधिक मानता है, जहाँ एक अनधिकृत अनुरोध एप्लिकेशन कोड चलने से पहले ही शोषण को ट्रिगर कर सकता है।

PHP CVE-2026-109618 को अनुरोध क्लीनअप के दौरान आउट-ऑफ-मेमोरी भ्रष्टाचार के माध्यम से रिमोट कोड निष्पादन के रूप में वर्णित करता है, और CVE-2026-109619 को उसी वर्कर पर बाद के अनुरोध द्वारा पुनः उपयोग किए गए पुराने अनुरोध-स्वामित्व वाले वैश्विक स्टेट के माध्यम से रिमोट कोड निष्पादन के रूप में वर्णित करता है। PHP 8.1 और उससे पुराने संस्करणों को अब PHP प्रोजेक्ट द्वारा समर्थित नहीं किया जाता है; डिस्ट्रीब्यूशन और LTS विक्रेता बैकपोर्टेड पैकेज प्रदान कर सकते हैं, और PHP ने PHP 7.4, 8.0 और 8.1 के लिए न्यूनतम स्रोत बैकपोर्ट प्रकाशित किए हैं।

प्रभाव केवल वेबसाइटों तक सीमित नहीं है: PHP उपकरणों, नेटवर्क डिवाइस, प्रबंधन इंटरफ़ेस और अन्य विक्रेता उत्पादों में भी एम्बेड किया गया है जहाँ प्रशासक सीधे PHP को अपडेट नहीं कर सकते।

अनुशंसित कार्रवाइयाँ

• PHP-आधारित अनुप्रयोगों और उनके रनटाइम संस्करणों की पहचान करें, विशेष प्राथमिकता इंटरनेट-फेसिंग सिस्टम और वेब-सर्विंग SAPI को दें।
• PHP 8.5.12, 8.4.27, 8.3.36 या 8.2.35 में अपडेट करें, या विक्रेता द्वारा प्रदान किए गए बैकपोर्टेड पैकेज लागू करें।
• तृतीय-पक्ष इमेज, उपकरण और एम्बेडेड रनटाइम की अलग से जाँच करें; जो उत्पाद PHP को बंडल करते हैं, उनके लिए विक्रेता अपडेट उपलब्ध होते ही लागू करें।
• यदि तत्काल पैचिंग संभव नहीं है, तो PHP के अस्थायी शमन उपायों का पालन करें, जिनमें session.upload_progress को अक्षम करना, वर्कर को पुनः आरंभ करना, और आधिकारिक memory_limit, post_max_size और PHP 8.5 fatal_error_backtraces मार्गदर्शन की समीक्षा करना शामिल है। PHP का कहना है कि ये उपाय पूर्ण समाधान नहीं हैं।
• विक्रेता सलाह, इंटरनेट-फेसिंग लॉग और सार्वजनिक शोषण गतिविधि की निगरानी करें।

अतिरिक्त जानकारी के लिए देखें:

• CERT-EU Security Advisory 2026-018
• PHP security advisory: Critical remote code execution vulnerabilities, update now
• List of advisories from other EU national CSIRT's

रिपॉज़िटरी की सामग्री

निर्देशिका	उद्देश्य
detection_mitigation	कमज़ोरियों के लिए डिटेक्शन और शमन सामग्री शामिल है।
software	उन सॉफ़्टवेयर उत्पादों की सूची शामिल है जिनमें PHP निर्भरता है और जो संभावित रूप से कमज़ोरियों से प्रभावित हैं।
tools	इस रिपॉज़िटरी के भीतर फ़ाइलों का उपयोग/निर्माण करने के लिए उपकरण शामिल हैं

कृपया ध्यान दें कि यह रिपॉज़िटरी पूर्ण नहीं है और वर्तमान में इसका विस्तार किया जा रहा है।

नवीनतम सॉफ़्टवेयर स्थिति अद्यतन

दिनांक और समय	आपूर्तिकर्ता	उत्पाद	संस्करण (स्थिति देखें)	स्थिति CVE-2026-109618	स्थिति CVE-2026-109619	टिप्पणियाँ	लिंक
2026-10-22 17:23:16 +0200	Fortinet	FortiADC Manager		जाँच	जाँच	CVE मूल्यांकन: Fortinet PSIRT FG-IR-26-186 उत्पाद को जाँच के अधीन सूचीबद्ध करता है; प्रभावित/ठीक किए गए संस्करण अभी तक प्रकाशित नहीं हुए हैं Fortinet PSIRT सलाहकार FG-IR-26-186, FortiADC Manager को CVE-2026-109618 और CVE-2026-109619 के लिए जाँच के अधीन सूचीबद्ध करता है।	source
2026-10-22 17:23:16 +0200	Fortinet	FortiClient Cloud Services		जाँच	जाँच	CVE मूल्यांकन: Fortinet PSIRT FG-IR-26-186 उत्पाद को जाँच के अधीन सूचीबद्ध करता है; प्रभावित/ठीक किए गए संस्करण अभी तक प्रकाशित नहीं हुए हैं Fortinet PSIRT सलाहकार FG-IR-26-186, FortiClient Cloud Services को CVE-2026-109618 और CVE-2026-109619 के लिए जाँच के अधीन सूचीबद्ध करता है।	source
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS		जाँच	जाँच	CVE मूल्यांकन: Fortinet PSIRT FG-IR-26-186 उत्पाद को जाँच के अधीन सूचीबद्ध करता है; प्रभावित/ठीक किए गए संस्करण अभी तक प्रकाशित नहीं हुए हैं Fortinet PSIRT सलाहकार FG-IR-26-186, FortiDDoS को CVE-2026-109618 और CVE-2026-109619 के लिए जाँच के अधीन सूचीबद्ध करता है।	source
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS-F		जाँच	जाँच	CVE मूल्यांकन: Fortinet PSIRT FG-IR-26-186 उत्पाद को जाँच के अधीन सूचीबद्ध करता है; प्रभावित/ठीक किए गए संस्करण अभी तक प्रकाशित नहीं हुए हैं Fortinet PSIRT सलाहकार FG-IR-26-186, FortiDDoS-F को CVE-2026-109618 और CVE-2026-109619 के लिए जाँच के अधीन सूचीबद्ध करता है।	source
2026-10-22 17:23:16 +0200	Fortinet	FortiEndpoint		जाँच	जाँच	CVE मूल्यांकन: Fortinet PSIRT FG-IR-26-186 उत्पाद को जाँच के अधीन सूचीबद्ध करता है; प्रभावित/ठीक किए गए संस्करण अभी तक प्रकाशित नहीं हुए हैं Fortinet PSIRT सलाहकार FG-IR-26-186, FortiEndpoint को CVE-2026-109618 और CVE-2026-109619 के लिए जाँच के अधीन सूचीबद्ध करता है।	source

संपूर्ण सॉफ़्टवेयर स्थिति अद्यतन इतिहास देखें।

योगदान का स्वागत है

यदि आपके पास इन PHP कमज़ोरियों से संबंधित कोई अतिरिक्त जानकारी साझा करने के लिए है, तो बेझिझक एक Pull request खोलें। इसके लिए नए हैं? GitHub के दस्तावेज़ीकरण में योगदान कैसे करें, यह पढ़ें।

सॉफ़्टवेयर सूची में अद्यतनों के लिए: हमारी प्रबल प्राथमिकता यह है कि software/spdx/ में SPDX स्रोत फ़ाइलों में संपादन प्राप्त किए जाएँ। Markdown सूची पृष्ठ उन फ़ाइलों से स्वचालित रूप से उत्पन्न होते हैं। यदि यह बहुत कठिन साबित होता है: चिंता न करें। हम .md फ़ाइलों में संपादनों को SPDX स्रोत फ़ाइलों में बैकपोर्ट करने का प्रयास करेंगे, लेकिन बिना किसी गारंटी के।