PHP: две критические RCE-уязвимости (CVSS 9.2) эксплуатируются до запуска кода приложения

PHP выпустил обновления безопасности для двух критических уязвимостей

PHP выпустил обновления безопасности для двух критических уязвимостей удаленного выполнения кода (RCE). Идентификаторы CVE-2026-109618 и CVE-2026-109619 получили оценку 9.2 по шкале CVSS v4.0. Уязвимости затрагивают версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Более ранние версии PHP, с 5 по 8.1, также подвержены риску, но они больше не поддерживаются и не получат исправлений.

Уязвимости позволяют выполнять код до запуска приложения

Исследователи Datadog Security Labs подтвердили, что уязвимости позволяют злоумышленнику выполнить произвольный код до того, как будет запущен код самого приложения. Атака не требует подбора или перебора. Злоумышленник может обойти рандомизацию адресного пространства (ASLR) с помощью подготовленных запросов. Успешная эксплуатация не обязательно приводит к сбою рабочего процесса. Для расследования следует искать большие формы отправки данных, ошибки исчерпания памяти при инициализации запроса и неожиданные процессы оболочки. Уязвимость CVE-2026-109618 возникает после сбоя выделения памяти, оставляя недействительные данные для последующей обработки. Уязвимость CVE-2026-109619 позволяет рабочему процессу PHP повторно использовать устаревшее состояние из предыдущего запроса.

Обновление до последних версий устраняет уязвимости

Единственным способом устранения этих уязвимостей является установка обновлений безопасности. Альтернативные методы, такие как установка session.upload_progress.enabled=0 в конфигурационном файле PHP, не обеспечивают защиту. Версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12 содержат исправления. Версии PHP 5-8.1 уязвимы, но не получат патчей, так как они больше не поддерживаются.

Обновиться до актуальных версий PHP

Разработчикам следует обновить свои PHP-среды до версий 8.2.35, 8.3.36, 8.4.27 или 8.5.12. Datadog Workload Protection обнаруживает PHP-приложения, запускающие оболочку, что позволяет выявлять эксплуатацию обеих уязвимостей. Для проверки среды на подозрительную активность можно использовать соответствующий запрос в Workload Protection.