- Một lỗ hổng bảo mật nghiêm trọng khác trong PHP vào năm 2026?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
Quy tắc
Thị trường này sẽ được phân định là "Có" nếu một lỗ hổng nghiêm trọng trong PHP lần đầu được công bố rộng rãi trong khoảng thời gian từ khi tạo thị trường đến 31 tháng 12, 2026, 23:59 ET, và đáp ứng tất cả yêu cầu dưới đây trước thời hạn đó. Nếu không, thị trường này sẽ được phân xử là "Không". Công bố rộng rãi nghĩa là thông tin được công khai và đủ để xác định lỗ hổng cụ thể, dù thông qua khuyến cáo chính thức, bài công bố của nhà nghiên cứu, thông tin rò rỉ hay một lần commit mã công khai. Một cảnh báo chung về lỗ hổng chưa được xác định sẽ không tự nó đáp ứng yêu cầu. Một lỗ hổng đã được công bố rộng rãi trước khi tạo thị trường sẽ không đáp ứng yêu cầu chỉ vì được cấp mã định danh CVE hoặc điểm số đủ điều kiện trong thời gian của thị trường. Lỗ hổng đủ điều kiện phải ảnh hưởng đến chính PHP (trình thông dịch PHP và các phần mở rộng đi kèm trong mã nguồn php-src chính thức), phải được cấp mã định danh CVE công khai và phải nhận được điểm cơ sở CVSS được công bố công khai từ 9.0 trở lên (theo bất kỳ phiên bản CVSS nào) từ dự án PHP hoặc US National Vulnerability Database (NVD). Các lỗ hổng chỉ ảnh hưởng đến những phiên bản PHP không còn được hỗ trợ hoặc các phần mở rộng tùy chọn đi kèm vẫn đủ điều kiện nếu đáp ứng các yêu cầu còn lại. Các phần mở rộng được phân phối riêng, không đi kèm php-src (ví dụ thông qua PECL), sẽ không đủ điều kiện. Chỉ cần một trong hai nguồn đưa ra điểm số đủ điều kiện, bất kể nguồn còn lại hoặc phiên bản CVSS khác đưa ra điểm thấp hơn. Chỉ điểm số do chính NVD công bố (được ghi nhận là của NIST) hoặc do dự án PHP công bố mới được tính; điểm số hiển thị trên NVD nhưng được ghi nhận là của bất kỳ tổ chức nào khác sẽ không đủ điều kiện. Khi tất cả yêu cầu đã được đáp ứng trong thời gian của thị trường, các lần điều chỉnh điểm số sau đó sẽ không ảnh hưởng đến việc phân định. CVE-2026-109618 và CVE-2026-109619 ("PHP2Shell") sẽ không đủ điều kiện. Các lỗ hổng trong phần mềm của bên thứ ba được viết bằng PHP hoặc chạy trên PHP (ví dụ: WordPress, Laravel, Drupal, plugin hoặc các framework và thư viện khác) sẽ không đủ điều kiện. Nguồn phân định chính cho thị trường này là thông tin chính thức từ dự án PHP (bao gồm php.net và các khuyến cáo bảo mật php-src trên GitHub) và NVD (https://nvd.nist.gov); tuy nhiên, cũng có thể sử dụng sự đồng thuận từ các nguồn tin đáng tin cậy.
Bản dịch máy. Khi có tranh chấp, bản gốc được ưu tiên.