- Isa pang kritikal na butas sa seguridad ng PHP sa 2026?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
Mga panuntunan
Mare-resolba ang market na ito sa "Oo" kung unang isapubliko ang isang kritikal na kahinaan sa PHP sa pagitan ng paglikha ng market at Disyembre 31, 2026, 11:59 PM ET, at matugunan nito ang lahat ng kinakailangan sa ibaba bago ang takdang oras na iyon. Kung hindi, maresolba ang market na ito bilang "Hindi". Ang pampublikong pagsisiwalat ay nangangahulugan ng impormasyong makukuha ng publiko at sapat upang matukoy ang partikular na kahinaan, sa pamamagitan man ng opisyal na abiso, publikasyon ng mananaliksik, pagtagas ng impormasyon, o pampublikong code commit. Hindi sapat sa sarili nito ang pangkalahatang babala tungkol sa hindi tinukoy na kahinaan upang matugunan ang mga pamantayan. Hindi magiging kwalipikado ang kahinaang isiniwalat na sa publiko bago likhain ang market dahil lamang nakatanggap ito ng CVE identifier o kuwalipikadong marka sa panahon ng market. Dapat makaapekto sa PHP mismo ang kuwalipikadong kahinaan (sa PHP interpreter at sa mga extension na kasama sa opisyal na source code ng php-src), dapat itong bigyan ng CVE identifier na makukuha ng publiko, at dapat itong makatanggap ng pampublikong inilathalang CVSS base score na 9.0 o mas mataas (sa anumang bersyon ng CVSS) mula sa proyekto ng PHP o sa US National Vulnerability Database (NVD). Magiging kuwalipikado ang mga kahinaang nakaaapekto lamang sa mga hindi na sinusuportahang bersyon ng PHP o mga opsyonal na kasamang extension kung natutugunan din ng mga ito ang iba pang kinakailangan. Hindi magiging kuwalipikado ang mga extension na ipinamamahagi nang hiwalay sa php-src (halimbawa, sa pamamagitan ng PECL). Sapat na ang kuwalipikadong marka mula sa alinman sa mga pinagmulan, anuman ang mas mababang markang ibinigay ng kabilang pinagmulan o sa ilalim ng ibang bersyon ng CVSS. Ang markang inilathala lamang ng NVD mismo (na iniuugnay sa NIST) o ng proyekto ng PHP ang bibilangin; hindi magiging kuwalipikado ang mga markang ipinapakita ng NVD ngunit iniuugnay sa anumang ibang organisasyon. Kapag natugunan na ang lahat ng kinakailangan sa panahon ng market, hindi na makaaapekto sa resolusyon ang mga susunod na pagbabago sa marka. Hindi magiging kuwalipikado ang CVE-2026-109618 at CVE-2026-109619 ("PHP2Shell"). Hindi kwalipikado ang mga kahinaan sa software ng third party na isinulat sa PHP o tumatakbo sa PHP (halimbawa, WordPress, Laravel, Drupal, mga plugin, o iba pang framework at library). Ang pangunahing pinagmumulan ng resolusyon para sa market na ito ay ang opisyal na impormasyon mula sa proyekto ng PHP (kabilang ang php.net at mga GitHub security advisory para sa php-src) at ang NVD (https://nvd.nist.gov); gayunman, maaari ring gamitin ang pagkakasundo ng mga mapagkakatiwalaang ulat.
Awtomatikong salin. Kapag may alitan, ang orihinal ang masusunod.