Аннотация:
21 октября 2026 года команда разработчиков PHP официально выпустила экстренное обновление безопасности, исправляющее две серьезные уязвимости безопасности. Эти две уязвимости имеют номера CVE-2026-109618 и CVE-2026-109619 соответственно. Обе уязвимости относятся к категории серьезных и могут позволить злоумышленникам удаленно выполнять код без входа в систему. Официальные лица настоятельно рекомендуют всем пользователям PHP немедленно обновиться до исправленной версии, чтобы избежать атак на сервер.
На этот раз выпущены исправленные версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Официальные лица отметили, что уязвимость затрагивает среды развертывания PHP, которые обрабатывают запросы через сеть, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Команда PHP особо подчеркнула, что экологические риски, связанные с использованием Apache mod_php, вызывают особую озабоченность, поскольку были демонстрации того, что злоумышленники могут инициировать атаки до того, как код приложения начнет выполняться.
Первая уязвимость, CVE-2026-109618, связана с механизмом обработки нехватки памяти. Когда PHP обнаруживает недостаток памяти, программа может прервать поток обработки, когда данные внутреннего запроса не были полностью инициализированы, а затем использовать эти недопустимые данные в качестве действительных данных при очистке ресурсов. Это ненормальное состояние может привести к повреждению памяти и при определенных условиях может быть использовано в дальнейшем, что в конечном итоге приведет к удаленному выполнению кода.
Вторая уязвимость, CVE-2026-109619, связана с освобождением памяти и истекшим внутренним состоянием. Некоторые внутренние состояния, принадлежащие текущему запросу, могут остаться после освобождения соответствующей памяти. Последующие запросы, обрабатываемые тем же рабочим процессом, могут использовать устаревшие данные до того, как обычная инициализация сбросит эти состояния, что приведет к проблемам безопасности. Обе уязвимости могут позволить злоумышленникам нарушить исходные границы выполнения программы.
Показатель CVSS v4.0 для обеих уязвимостей составляет 9,2, что является серьезным уровнем. Опасность заключается в том, что злоумышленнику может не потребоваться действующая учетная запись, пароль или другие учетные данные для аутентификации, чтобы вызвать уязвимость путем создания определенных сетевых запросов. Если атака успешна, злоумышленник может дополнительно выполнять вредоносные команды, красть данные, внедрять вредоносные программы или использовать привилегии сервера для дальнейшего расширения масштабов вторжения.
PHP — один из наиболее распространенных серверных языков программирования в интернет-приложениях, широко используемый для динамического создания веб-страниц, взаимодействия с базами данных и фоновой бизнес-обработки. Системы управления контентом, такие как WordPress, также используют PHP для работы, поэтому эта уязвимость затрагивает не только определенную платформу веб-сайта, но и базовую операционную среду. Даже если веб-сайт обновил основную программу и плагины WordPress, веб-сайт может продолжать подвергаться риску, пока версия PHP на сервере все еще уязвима. Представители WordPress также дали понять, что эту проблему не нужно решать путем выпуска обновления ядра WordPress. Владельцы веб-сайтов должны проверять и обновлять фактическую рабочую среду PHP.
Для веб-сайтов, использующих поддерживаемые ветки PHP 8.2 и выше, администраторы должны как можно скорее установить соответствующую восстановительную версию. Пользователям, которые все еще используют PHP 8.1 и более ранние версии, следует обратить особое внимание: эти версии больше не получают обновления безопасности, предоставляемые непосредственно проектом PHP. Однако некоторые дистрибутивы Linux, поставщики долгосрочной поддержки или другие поставщики могут предоставлять исправления отката, и соответствующим пользователям следует уточнить у своих поставщиков программного обеспечения, существует ли исправление.
Органы безопасности ранее предупреждали, что если веб-сайт не сможет вовремя устранить уязвимость, ему следует рассмотреть возможность временного ограничения внешнего доступа и при необходимости отключения системы. Обнаружение этой уязвимости также вызвало чрезвычайные меры реагирования во многих странах и регионах. Некоторые европейские правительственные учреждения выступили с инициативой закрыть веб-сайты до выпуска патча, чтобы снизить потенциальные риски. Агентство Reuters сообщает, что некоторые правительственные учреждения в Нидерландах и Финляндии приняли превентивные меры, отражая фактическое давление, которое этот инцидент безопасности оказал на услуги общедоступных сетей.
Официальный экстренный выпуск исправлений PHP означает, что проблемы безопасности, которые ранее находились на стадии предупреждения, перешли в стадию фактического исправления. Для операторов веб-сайтов наиболее важной задачей сейчас является подтверждение версии PHP, на которой фактически работает сервер, проверка того, установил ли хостинг-провайдер обновления, а также проверка системы на наличие аномальных процессов, несанкционированных изменений файлов или подозрительных сетевых подключений.
Безопасность веб-сайта зависит не только от самого приложения, но и от того, своевременно ли поддерживается базовая операционная среда. Поскольку PHP широко используется на различных веб-сайтах и серверах, своевременная установка официальных восстановительных версий является ключевой мерой по снижению риска возникновения этих двух серьезных уязвимостей.
Подробнее:
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.php.net/downloads.php
Комментарии