Аннотация:
Cloudflare, глобальная компания, предоставляющая облачные услуги и сетевую безопасность, объявила 21 октября 2026 года о развертывании правил защиты брандмауэра веб-приложений (WAF) от двух серьезных уязвимостей безопасности, известных как «php2shell» на языке программирования PHP. Эти две уязвимости имеют номера CVE-2026-109618 и CVE-2026-109619 соответственно. Они могут привести к отказу в обслуживании, удаленному выполнению кода и утечке конфиденциальных данных.
В Cloudflare заявили, что компания начала подготовку защитных мер до того, как уязвимость была официально обнародована, и завершила развертывание примерно за 9 часов до обнародования уязвимости. Начиная с 3:02 утра по всемирному координированному времени 21 октября, как бесплатные, так и платные клиенты, включившие Cloudflare WAF, получат защиту по умолчанию.
Эта работа по защите является одной из скоординированных ответных действий, в которых Cloudflare участвовала совместно с PHP Foundation, OpenAI, Wiz и другими организациями. Когда информация об уязвимостях просачивается заранее и злоумышленники начинают пытаться использовать уязвимости, соответствующие группы безопасности продолжают корректировать правила защиты и стремятся обеспечить дополнительную защиту интернет-сервисов до того, как операторы веб-сайтов завершат обновление программного обеспечения.
В Cloudflare заявили, что до того, как уязвимость была официально обнародована, компания наблюдала атакующий трафик, направленный на клиентов. Команда безопасности также обнаружила, что злоумышленники продолжали модифицировать полезные данные атаки, пытаясь обойти развернутые меры защиты. Отслеживая количество совпадений правил и анализируя изменения в действиях злоумышленников в сочетании с логикой правил, Cloudflare может постоянно корректировать механизм обнаружения для борьбы с новыми вариантами атак.
PHP — это серверный язык программирования, широко используемый в Интернете. Cloudflare привел данные W3Techs и отметил, что почти 70% веб-сайтов в мире используют PHP. Все распространенные платформы веб-сайтов, включая WordPress и Magento, используют PHP для работы. Таким образом, если в базовой операционной среде возникает серьезная уязвимость, она может затронуть большое количество веб-сайтов, онлайн-сервисов и корпоративных приложений.
Эта уязвимость затрагивает саму среду выполнения PHP, а не конкретную программу веб-сайта или плагин. Злоумышленник может отправить на сервер специально созданный HTTP-запрос, заставляя PHP обрабатывать проблемы с памятью в ненормальном состоянии. Согласно информации, раскрытой Cloudflare, две уязвимости связаны с неспособностью PHP безопасно обрабатывать связанную память и внутреннее состояние, когда во время обработки запроса возникает нехватка памяти или фатальные ошибки.
Первая уязвимость, CVE-2026-109618, связана с обработкой исключений после исчерпания памяти. Когда PHP прерывает запрос, когда некоторые внутренние данные не были инициализированы, последующие операции очистки могут ошибочно использовать эти данные, которые не были эффективно инициализированы как обычные данные, что приводит к повреждению памяти.
Вторая уязвимость, CVE-2026-109619, связана с внутренним состоянием, которое сохраняется после завершения запроса. Когда в запросе возникает фатальная ошибка, процесс PHP может продолжать сохранять ссылки на освобожденную память. Если тот же процесс впоследствии обработает другой запрос, он может получить доступ к памяти, срок действия которой истек, что приведет к утечке конфиденциальных данных или даже создаст условия для дальнейших атак.
Злоумышленник может вызвать эти исключения, создав определенные запросы. Запросы большего размера могут вызвать нехватку памяти, но риск не ограничивается потреблением ресурсов сервера. Злоумышленники также могут использовать недостатки в обработке программой недопустимой памяти для сбоя процесса PHP, утечки конфиденциальной информации или выполнения кода, предоставленного злоумышленником.
При наличии таких уязвимостей традиционные правила брандмауэра веб-приложений не всегда обеспечивают достаточно надежную основу для принятия решений. Cloudflare отмечает, что, проверяя только входящие запросы, иногда трудно точно отличить вредоносные атаки от обычного трафика. Если вы сможете анализировать запрос и ответ, возвращаемый сервером одновременно, у вас появится возможность получить больше контекстной информации, точнее определить, успешна ли атака, и снизить вероятность ошибочного перехвата обычных запросов.
С этой целью Cloudflare разработала новую возможность WAF под названием «Полное обнаружение транзакций». Этот механизм объединяет сигналы запроса и ответа в одной HTTP-транзакции для анализа. Когда правила обнаружения подтверждают, что транзакция соответствует характеристикам атаки, содержимое ответа исходного сервера может быть перехвачено до того, как оно будет возвращено запрашивающей стороне.
Правила защиты, развернутые для php2shell, — это первые правила управляемого обнаружения, запущенные Cloudflare с использованием этой новой возможности. Компания считает, что путем всестороннего анализа запросов и ответов она может выявлять сложные атаки, одновременно уменьшая возможные ошибочные суждения, вызванные использованием исключительно характеристик запроса.
Что касается конкретного развертывания, Cloudflare заявила, что пользователям бесплатных пакетов не нужно вручную включать новые правила защиты. Соответствующие правила были автоматически развернуты в бесплатном наборе правил, размещенном на Cloudflare. Платные пакеты обеспечивают защиту с помощью наборов правил, управляемых Cloudflare. Пользователи редакций Professional, Business и Enterprise должны подтвердить, что соответствующие наборы правил включены и находятся в режиме блокировки, а не просто регистрировать события атак.
Cloudflare также развертывает правила блокировки по умолчанию для сигнатур атак с высокой степенью достоверности в своих правилах по умолчанию брандмауэра управляемого реагирования. Пользователи могут войти в интерфейс анализа безопасности, чтобы просмотреть перехваченные запросы, правила сопоставления и связанные пути, чтобы понять, подвергается ли их веб-сайт атаке. Для клиентов, которым требуется более детальный контроль, также можно настроить объем управляемых наборов правил.
Однако Cloudflare неоднократно подчеркивала, что защита WAF может использоваться только как часть глубокоэшелонированной защиты и не может заменить официальный патч PHP. Даже если на веб-сайте включен брандмауэр Cloudflare, администраторам все равно следует как можно скорее обновить фактическое программное обеспечение PHP, работающее на сервере. Причина в том, что WAF в основном снижает риски за счет выявления и блокировки известного или обнаруживаемого атакующего трафика, в то время как сама уязвимость все еще существует в непропатченной среде PHP. Если злоумышленник применит новый метод атаки или запрос не будет точно идентифицирован существующими правилами, система все равно может оказаться под угрозой.
Для организаций, которые не могут выполнить обновление немедленно, Cloudflare рекомендует продолжать включать защиту WAF, ограничивая при этом ненужные функции загрузки файлов и устанавливая разумные ограничения на размер файлов для интерфейсов загрузки, которые необходимо сохранить. Эти меры могут помочь уменьшить уязвимость некоторых путей атак, но они не могут полностью решить проблему уязвимости. Для веб-сайтов, использующих управляемый хостинг, если оператор не может напрямую управлять версией PHP, ему следует как можно скорее связаться с поставщиком услуг хостинга, чтобы подтвердить, развернул ли он официальные обновления безопасности.
Cloudflare заявила, что ее группа по анализу безопасности продолжит отслеживать действия атак и обновлять правила защиты на основе новых технологий и вариантов полезной нагрузки, принятых злоумышленниками. Компания также рекомендует пользователям продолжать сохранять соответствующую защиту WAF при устранении уязвимостей PHP, чтобы сформировать многоуровневую защиту.
Этот инцидент подчеркивает важность механизмов реагирования на безопасность Интернета. Для базовых уязвимостей программного обеспечения, которые имеют большое влияние и могут быть использованы удаленно, простого выпуска патча недостаточно для немедленного восстановления безопасности всех веб-сайтов, поскольку скорость обновления, возможности обслуживания и методы управления серверами у разных операторов сильно различаются. Поставщики облачных услуг заранее развертывают правила защиты, чтобы выиграть драгоценное время между выпуском исправлений и крупномасштабной установкой.
Однако в долгосрочной перспективе самым надежным решением по-прежнему будет обновление до официально выпущенной восстановительной версии PHP. Временные меры защиты Cloudflare могут создать дополнительные барьеры для веб-сайтов, но они не могут гарантировать, что все варианты атак будут заблокированы. Для веб-сайтов, использующих PHP, своевременное восстановление базовой операционной среды, включение правил брандмауэра и постоянная проверка аномальных запросов по-прежнему являются ключевыми мерами борьбы с этой уязвимостью php2shell.
Статьи по теме:
PHP выявил серьезные уязвимости безопасности, и глобальные операторы веб-сайтов срочно ввели исправления
Комментарии