PHP izdos steidzamus drošības ielāpus divām kritiskām ievainojamībām

Attēls: Ars Technica · Avots

PHP uzturētāji plāno izlaiž steidzamus ielāpus divām augstas bīstamības ievainojamībām ar vērtējumu 9,2, risinot ekspluatāciju PHP2Shell, kas ļauj attālinātu koda izpildi uz vairākām PHP bāzētām platformām.

PHP, plaši izmantotā atvērtā koda skriptēšanas valoda, kas darbojas daudziem tīmekļa vietņu un lietojumprogrammu dzinējiem, gatavojas izlaist steidzamus drošības ielāpus divām kritiskām ievainojamībām. Ievainojamības, kas ir reģistrētas kā CVE-2026-109618 un CVE-2026-109619, ir novērtētas ar smaguma līmeni 9,2 no 10 PHP uzturētāju vērtējumā. Ielāpu izlaišana sagaidāma tuvākajā laikā, brīdinot, ka detalizēta informācija vai pierādījumi par aktīvu ekspluatāciju var veicināt agrāku izlaišanu.

Neapstiprināts ziņojums kopā ar demonstrācijas video par ekspluatācijas rīku PHP2Shell, kas it kā ļauj attālinātu koda izpildi tīmekļa serveros, kuros darbojas dažādas PHP bāzētas satura pārvaldības sistēmas un lietojumprogrammas. Šajā sarakstā ir populāras platformas, piemēram, WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel versijas 8.83.29 un 13.36.0, Symphony 8.1.9, Drupal 11.4.10 un WHMCS 9.0.9.

Drošības uzņēmums watchTowr norādīja, ka šīs ievainojamības ietekmē visas PHP versijas, sākot no PHP 5, kas tika izdota 2004. gadā, un neatkarīgi apstiprināja to autentiskumu. Vairāki drošības uzņēmumi, tostarp Sansec, Webfence un Huntress, ir izdevuši brīdinājumus, ar Sansec prognozējot plašu ekspluatācijas mēģinājumu uzliesmojumu drīz pēc ielāpu publicēšanas.

Administratori aicināti sagatavoties proaktīvi, identificējot PHP uzturētājus, nosakot PHP bāzēto lietojumprogrammu sarakstu, plānojot uzturēšanas laiku — ieteicams sākt plkst. 14:00 UTC, bet iespējams agrāk — un nodrošinot pilnīgu dublējumu izveidi tīmekļa vietnēm un datu bāzēm. Eksperti arī iesaka uzmanīgi sekot līdzi oficiālajai PHP.net vietnei informācijai par atjauninājumiem vai paātrinātas ielāpu izlaišanas gadījumos.

Tā kā PHP ir neatņemama daudzu miljonu tīmekļa vietņu un iekšējo rīku sastāvdaļa visā pasaulē — aptuveni 1,3 miljoni interneta pieslēgto resursdatoru var būt potenciāli ievainojami — šo drošības kļūdu ietekme var būt plaša. Organizācijām ieteicams apsvērt pagaidu nestrādājošo sistēmu atslēgšanu līdz ielāpu uzstādīšanai. Modrība saglabājas būtiska, jo ielāpi var tikt izlaiesti jebkurā brīdī, lai mazinātu aktīvos draudus.