PHP avaldab kiiresti turvapaigad kahele kriitilisele haavatavusele

Pilt: Ars Technica · Allikas

PHP hooldajad plaanivad avaldada erakorralised plaastrid kahe kõrge raskusastmega haavatavuse jaoks, mille skoor on 9,2, tegeledes PHP2Shell nimelise ärakasutamisega, mis võimaldab kaugkoodi täitmist mitmel PHP põhisel platvormil.

PHP, laialdaselt kasutatav avatud lähtekoodiga skriptikeel, mis toimib paljude veebisaitide ja rakenduste aluseks, on valmis avaldama erakorralised turvapaigad kahele kriitilisele haavatavusele. Haavatavused, mille jälgimise nimed on CVE-2026-109618 ja CVE-2026-109619, on PHP hooldajate poolt hinnatud raskusastmega 9,2 kümnest. Plaastrite avaldamine on ootuspäraselt varsti tulemas ning hoiatused viitavad, et detailide või aktiivse ärakasutamise tõestusmaterjal võib kiirendada väljaandmist.

Tõendamata raport ilmus koos demonstreerimisvideoga ärakasutusvahendist nimega PHP2Shell, mis väidetavalt võimaldab kaugkoodi täitmist veebiserverites, kus jooksevad erinevad PHP-põhised sisuhaldussüsteemid ja rakendused. Nende hulka kuuluvad populaarsed platvormid nagu WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel versioonid 8.83.29 ja 13.36.0, Symphony 8.1.9, Drupal 11.4.10 ning WHMCS 9.0.9.

Turvafirma watchTowr märkis, et need haavatavused mõjutavad kõiki PHP versioone alates PHP 5-st, mis ilmus aastal 2004, ning on iseseisvalt nende autentsuse kinnitanud. Mitmed turvafirmad, sealhulgas Sansec, Webfence ja Huntress, on andnud hoiatusi, kus Sansec ennustab massilisi ärakasutamiskatseid vahetult pärast plaastrite avaldamist.

Administraatoritele soovitatakse ette valmistuda, tuvastades PHP hooldajad, hallates PHP-põhiseid rakendusi, planeerides hooldusaknad — soovitatavalt alates 14:00 UTC, kuid võimalik ka varem — ning tagades veebisaitide ja andmebaaside täieliku varunduse. Eksperdid soovitavad ka tähelepanelikult jälgida ametlikku PHP.net veebilehte, et saada teavet uuenduste või plaastrite kiirendatud avaldamise kohta.

Kuna PHP on paljude miljonite veebisaitide ja sisemiste tööriistade lahutamatu osa kogu maailmas — hinnanguliselt 1,3 miljonit internetiga ühendatud hosti on potentsiaalselt haavatavad — võib nende turvaaukude mõju olla ulatuslik. Organisatsioonidel soovitatakse kaaluda ajutist mitteoluliste süsteemide lahtiühendamist kuni plaastrite paigaldamiseni. Valvsus on endiselt oluline, kuna plaastrid võidakse avaldada igal ajal aktiivsete ohtude vähendamiseks.