Baza wiedzy

W związku z informacją o podatnościach CVE-2026-109618 oraz CVE-2026-109619 w oprogramowaniu PHP rekomenduję podmiotom krajowego systemu cyberbezpieczeństwa1 niezwłoczne podjęcie następujących działań dotyczących oprogramowania PHP:

1. Natychmiastowe wdrożenie poprawki eliminującej powyższe podatności we wszystkich usługach wykorzystujących PHP (PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35).

2. W przypadku gotowych urządzeń, appliance oraz aplikacji dystrybuowanych jako obrazy (np. Docker), należy oczekiwać ich nowej wersji od producenta, które po udostępnieniu należy niezwłocznie wdrożyć.

3. Do czasu wdrożenia poprawki, aby zminimalizować ryzyko incydentu należy ustawić następujące wartości parametrów PHP w php.ini:

· memory_limit na -1, jeżeli pozwalają na to zasoby, a w przeciwnym wypadku 128M lub więcej,

· ppost_max_size: 8M lub mniej,

· max_input_vars: 1000 lub mniej,

· session.upload_progress.enabled na Off.

Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa przeprowadził konsultację w powyższym zakresie z CSIRT NASK, CSIRT GOV oraz CSIRT MON, na podstawie której została potwierdzona możliwość wystąpienia incydentu krytycznego w przypadku niezastosowania się do powyższej rekomendacji. Tym samym stwierdza się, że stosowanie oprogramowania z ww. podatnościami ma negatywny wpływ na bezpieczeństwo publiczne i istotny interes bezpieczeństwa państwa.

 

Zachęcamy do zapoznania się z pełną treścią rekomendacji poniżej.

Pełna lista rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa znajduje się w Biuletynie Informacji Publicznej Ministra Cyfryzacji.