Команда безопасности PHP выпустила исправления для двух критических уязвимостей, которые могут позволить удалённо выполнить код без аутентификации. Уязвимости могут затронуть серверы с PHP, обрабатывающие веб-запросы. Обе получили 9,2 балла из 10 по шкале CVSS 4.0.
Уязвимости CVE-2026-109618 и CVE-2026-109619 связаны с разными проблемами при работе с памятью. Первая связана с нехваткой памяти: при очистке запроса программа может обратиться к некорректным данным, что способно привести к удалённому выполнению кода. При обработке последующих запросов программа может обратиться к устаревшим данным до полной инициализации состояния, что тоже грозит удалённым выполнением кода.
Уязвимость может затронуть все серверы, обрабатывающие веб-запросы, в том числе PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Команда безопасности PHP выпустила версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12 и призвала пользователей установить обновления. Предупреждение PHP.net Cloudflare сообщила о первых атаках и развернула для сайтов на PHP временные правила WAF. Технический директор компании Дэйн Кнехт (Dane Knecht) предупредил, что эти меры не заменяют обновление.
Мы видим первые атаки и обновляем меры защиты по мере появления новых векторов. Это только временная мера. Установите патч сразу, как только PHP Foundation выпустит обновление сегодня в 14:00 UTC.
— Дэйн Кнехт, технический директор Cloudflare
Временные меры не заменят обновление: PHP.net рекомендует установить его, чтобы устранить уязвимости. PHP 8.1 и более ранние версии проект больше не обновляет, хотя некоторые дистрибутивы и поставщики LTS могут самостоятельно выпускать исправления.
Если сайт работает на PHP, насколько быстро, по-вашему, его владельцы должны установить патч после сообщений о первых атаках?
НовостиОС и программыВзломы и мошенничествоЖелезо и технологии
Источник: vgtimes.ru