- 2026 में PHP की एक और गंभीर सुरक्षा खामी?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
नियम
यह मार्केट तभी "हाँ" पर सेटल होगा, जब PHP की किसी गंभीर भेद्यता का पहली बार सार्वजनिक खुलासा मार्केट बनने से लेकर 31 दिसंबर 2026, 11:59 pm ET तक के बीच हो और वह समय-सीमा तक नीचे दी गई सभी आवश्यकताओं को पूरा करे। अन्यथा, इस बाज़ार का परिणाम "नहीं" होगा। सार्वजनिक खुलासे का अर्थ है ऐसी सार्वजनिक रूप से उपलब्ध जानकारी, जो उस विशिष्ट भेद्यता की पहचान करने के लिए पर्याप्त हो—चाहे वह आधिकारिक सलाह, शोधकर्ता का प्रकाशन, लीक या सार्वजनिक कोड कमिट के माध्यम से हो। किसी अनिर्दिष्ट भेद्यता के बारे में सामान्य चेतावनी अकेले इन आवश्यकताओं को पूरा नहीं करेगी। मार्केट बनने से पहले सार्वजनिक रूप से उजागर हुई भेद्यता केवल इसलिए आवश्यकताओं को पूरा नहीं करेगी कि मार्केट अवधि के दौरान उसे CVE पहचानकर्ता या योग्य स्कोर मिल जाता है। योग्य भेद्यता का असर स्वयं PHP पर होना चाहिए (PHP इंटरप्रेटर और आधिकारिक php-src सोर्स कोड में शामिल एक्सटेंशन), उसे सार्वजनिक रूप से उपलब्ध CVE पहचानकर्ता दिया गया होना चाहिए और उसे PHP प्रोजेक्ट या US National Vulnerability Database (NVD) से किसी भी CVSS संस्करण के तहत 9.0 या उससे अधिक का सार्वजनिक रूप से प्रकाशित CVSS बेस स्कोर मिलना चाहिए। केवल असमर्थित PHP संस्करणों या वैकल्पिक रूप से शामिल एक्सटेंशन को प्रभावित करने वाली भेद्यताएँ भी योग्य होंगी, यदि वे अन्यथा इन आवश्यकताओं को पूरा करती हैं। php-src से अलग वितरित किए जाने वाले एक्सटेंशन (उदाहरण के लिए, PECL के माध्यम से) योग्य नहीं होंगे। किसी भी एक स्रोत से मिला योग्य स्कोर पर्याप्त होगा, भले ही दूसरे स्रोत या किसी अन्य CVSS संस्करण के तहत स्कोर कम हो। केवल NVD द्वारा स्वयं प्रकाशित (NIST को श्रेय दिया गया) या PHP प्रोजेक्ट द्वारा प्रकाशित स्कोर ही गिना जाएगा; NVD पर दिखाए गए, लेकिन किसी अन्य संगठन को श्रेय दिए गए स्कोर योग्य नहीं होंगे। मार्केट अवधि के दौरान सभी आवश्यकताएँ पूरी हो जाने के बाद, स्कोर में बाद के संशोधन से सेटलमेंट प्रभावित नहीं होगा। CVE-2026-109618 और CVE-2026-109619 ("PHP2Shell") योग्य नहीं होंगे। PHP में लिखे गए या PHP पर चलने वाले तृतीय-पक्ष सॉफ़्टवेयर (उदाहरण के लिए, WordPress, Laravel, Drupal, प्लगइन या अन्य फ़्रेमवर्क और लाइब्रेरी) की कमजोरियाँ योग्य नहीं होंगी। इस मार्केट के सेटलमेंट का प्राथमिक स्रोत PHP प्रोजेक्ट की आधिकारिक जानकारी (जिसमें php.net और GitHub पर php-src सुरक्षा सलाह शामिल हैं) और NVD (https://nvd.nist.gov) होगी; हालाँकि, विश्वसनीय रिपोर्टिंग में बनी आम सहमति का भी उपयोग किया जा सकता है।
मशीन अनुवाद। विवाद की स्थिति में मूल पाठ मान्य होगा।