Критическая уязвимость в PHP затронула все версии, патч ожидается для PHP 8

PHP 8 получит патч, остальные версии останутся уязвимы

PHP.net анонсировал выход критического обновления. Информационная готовность повышена до жёлтого уровня из-за широкого распространения PHP, ожидаемой серьёзности уязвимости (CVSS 9.4) и появления ранних PoC-эксплойтов до выпуска патча. Информация будет постоянно обновляться. Описание готовится с учётом неясных деталей и отсутствия патча.

Все версии PHP подвержены уязвимости

Уязвимость затрагивает все версии PHP, начиная с PHP 5 и включая последние релизы. Только PHP 8 получит исправление. Старые версии больше не поддерживаются. Патч для PHP 8 ожидается 21 октября в 14:00 UTC.

Уязвимость затрагивает ядро PHP

Уязвимость находится в ядре PHP. Все стандартные установки PHP считаются уязвимыми. Возможные меры смягчения включают изменение конфигурации session.upload_progress.enabled на Off (по умолчанию On) и ограничение максимального размера запроса на уровне веб-сервера или конфигурации PHP.

Обновление до PHP 8 или установка плагина безопасности

Cloudflare уже развернул средства защиты. Другие поставщики, вероятно, сделали то же самое. PoC-эксплойты и детали уязвимости опубликованы. Эксплойты в реальных атаках зафиксированы. PoC-эксплойт отправляет POST-запрос с multipart MIME-payload. Триггером служит очень длинное имя файла. Эксплойт работает ненадёжно, но может служить индикатором для обнаружения работающих версий.