PHP paskelbs neatidėliotinas saugumo pataisas dėl dviejų kritinių pažeidžiamumų

Vaizdas: Ars Technica · Šaltinis

PHP kūrėjai planuoja išleisti skubias pataisas dėl dviejų itin rimtų pažeidžiamumų, kurių rimtumo balas siekia 9,2, sprendžiant išnaudojimą, vadinamą PHP2Shell, leidžiantį nuotolinį kodo vykdymą kelioms PHP pagrindu veikiančioms platformoms.

PHP, plačiai naudojama atvirojo kodo scenarijų kalba, palaikanti daug svetainių ir programų, ruošiasi išleisti neatidėliotinas saugumo pataisas dėl dviejų kritinių pažeidžiamumų. Šie pažeidžiamumai, žymimi kaip CVE-2026-109618 ir CVE-2026-109619, pagal PHP kūrėjų vertinimą turi 9,2 iš 10 rimtumo balą. Pataisų išleidimas numatomas bet kuriuo metu, o atsiradus informacijai ar įrodymų apie aktyvų išnaudojimą, išleidimas gali būti anksčiau.

Nepatvirtintas pranešimas pasirodė kartu su demonstraciniu vaizdo įrašu apie išnaudojimo įrankį PHP2Shell, kuris, kaip teigiama, leidžia nuotolinį kodo vykdymą interneto serveriuose, veikiančiuose įvairiomis PHP pagrindu veikiančiomis turinio valdymo sistemomis ir programomis. Tai apima populiarias platformas, tokias kaip WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel versijos 8.83.29 ir 13.36.0, Symphony 8.1.9, Drupal 11.4.10 ir WHMCS 9.0.9.

Saugumo įmonė watchTowr nurodė, kad šie pažeidžiamumai paveikia kiekvieną PHP versiją nuo PHP 5, išleisto 2004 m., ir nepriklausomai patvirtino jų autentiškumą. Kelios saugumo įmonės, įskaitant Sansec, Webfence ir Huntress, paskelbė perspėjimus, o Sansec prognozuoja masines išnaudojimo atakas netrukus po pataisų paskelbimo.

Administratoriai raginami pasiruošti proaktyviai: nustatyti atsakingus už PHP priežiūrą, sudaryti PHP pagrindu veikiančių programų sąrašą, suplanuoti priežiūros langą – rekomenduojama pradėti 14:00 UTC, tačiau galbūt anksčiau – bei užtikrinti visų svetainių ir duomenų bazių pilną atsarginę kopiją. Ekspertai taip pat rekomenduoja kruopščiai stebėti oficialią PHP.net svetainę dėl atnaujinimų ar paskubinto pataisų išleidimo.

Kadangi PHP yra svarbi daugelio milijonų svetainių ir vidinių įrankių visame pasaulyje dalis – jų skaičius, potencialiai pažeidžiamų, siekia apie 1,3 milijono interneto prijungtų prieglobų, – šių saugumo spragų poveikis gali būti platus. Organizacijos raginamos apsvarstyti laikino nereikšmingų sistemų atjungimo galimybę iki pataisų pritaikymo. Budrumas išlieka esminis, nes pataisos gali būti paskelbtos bet kuriuo metu, siekiant suvaldyti aktyvias grėsmes.