- Kolejna krytyczna luka w zabezpieczeniach PHP w 2026 roku?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
Zasady
Ten rynek zostanie rozstrzygnięty na „Tak”, jeśli krytyczna luka w PHP zostanie po raz pierwszy publicznie ujawniona między utworzeniem rynku a 31 grudnia 2026, 23:59 ET, i spełni wszystkie poniższe wymagania przed tym terminem. W przeciwnym razie rynek zostanie rozstrzygnięty na „Nie”. Publiczne ujawnienie oznacza udostępnienie publicznie informacji wystarczających do zidentyfikowania konkretnej luki, czy to w oficjalnym komunikacie, publikacji badacza, wycieku, czy publicznym commicie kodu. Ogólne ostrzeżenie o nieokreślonej luce samo w sobie nie spełnia kryteriów. Luka ujawniona publicznie przed utworzeniem rynku nie spełnia kryteriów wyłącznie dlatego, że w okresie rynku otrzyma identyfikator CVE lub kwalifikującą ocenę. Kwalifikująca się luka musi wpływać na samo PHP (interpreter PHP i rozszerzenia dołączone do oficjalnego kodu źródłowego php-src), musi otrzymać publicznie dostępny identyfikator CVE oraz musi uzyskać publicznie opublikowaną bazową ocenę CVSS wynoszącą co najmniej 9.0 (w dowolnej wersji CVSS) od projektu PHP lub amerykańskiej National Vulnerability Database (NVD). Luki wpływające wyłącznie na niewspierane wersje PHP lub opcjonalne dołączone rozszerzenia kwalifikują się, jeśli spełniają pozostałe wymagania. Rozszerzenia dystrybuowane oddzielnie od php-src (na przykład za pośrednictwem PECL) nie kwalifikują się. Kwalifikująca ocena z dowolnego z tych źródeł wystarczy, niezależnie od niższej oceny z drugiego źródła lub według innej wersji CVSS. Liczy się wyłącznie ocena opublikowana przez samą NVD (przypisana NIST) lub przez projekt PHP; oceny wyświetlane przez NVD, ale przypisane dowolnej innej organizacji, nie kwalifikują się. Po spełnieniu wszystkich wymagań w okresie rynku późniejsze korekty oceny nie wpłyną na rozstrzygnięcie. CVE-2026-109618 i CVE-2026-109619 („PHP2Shell”) nie kwalifikują się. Luki w oprogramowaniu innych firm napisanym w PHP lub działającym w PHP (na przykład WordPress, Laravel, Drupal, wtyczkach lub innych platformach i bibliotekach) nie kwalifikują się. Podstawowym źródłem rozstrzygnięcia tego rynku będą oficjalne informacje projektu PHP (w tym php.net i komunikaty bezpieczeństwa GitHub dotyczące php-src) oraz NVD (https://nvd.nist.gov); można jednak również wykorzystać zgodne doniesienia wiarygodnych źródeł.
Tłumaczenie maszynowe. W razie sporu obowiązuje oryginał.