PHP: две критические уязвимости позволяют удалённо выполнить код

Две критические уязвимости PHP позволяют удалённо выполнить код

PHP выпустила исправления для двух критических уязвимостей, CVE-2026-109618 и CVE-2026-109619. Обе позволяют удалённо выполнить код (RCE). Уязвимость CVE-2026-109618 связана с ошибкой нехватки памяти, а CVE-2026-109619 — с устаревшим состоянием глобальных переменных. Исследователи из Wiz и Calif обнаружили эти недостатки. Каждой уязвимости присвоен балл CVSS 9.2.

PHP распределяет нагрузку между серверами приложений

PHP является повсеместно используемым инструментом в интернете. Организации могут не полностью осознавать все места его развёртывания. Инцидент PHP2Shell выделяется отклонением от стандартных процессов раскрытия информации. Уязвимости были опубликованы онлайн 20 октября. Это вынудило команду PHP выпустить экстренное исправление. В результате возник 18-часовой период, когда у специалистов по безопасности не было деталей об уязвимостях, они искали способы смягчения последствий и ждали разработки эксплойтов до появления исправлений. Некоторые поставщики решений для защиты веб-приложений выпустили обновлённые правила защиты в течение ночи.

Обновиться до 8.5.12, 8.4.27, 8.3.36 или 8.2.35

PHP рекомендует обновиться до версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Компания заявляет, что полных мер по смягчению последствий не существует; обновление является единственным безопасным выбором. Пользователи неподдерживаемых версий (PHP 8.1 или старше) должны применять неполные меры, определяя пути обновления или временно отключая некоторые сайты. Нидерланды и Финляндия отключили свои правительственные сайты до доступности исправлений. Специалисты по безопасности должны изучить использование PHP в своей среде. Важно иметь перечень программных компонентов (SBOM) для идентификации используемых библиотек PHP и уязвимых версий. Инструменты анализа состава программного обеспечения помогают генерировать и анализировать SBOM, предоставляя инвентаризацию и выявляя уязвимые версии. Необходимо учитывать сторонние приложения, включая коммерческое ПО, ПО с открытым исходным кодом и SaaS-приложения. Запрос SBOM у поставщиков или их генерация для ПО с открытым исходным кодом позволяет использовать решения для управления SBOM для определения необходимости обращения к поставщикам. Безопасность по требованию ставит вас в более выгодное положение при раскрытии новых уязвимостей.

Приоритизировать исправления и искать компрометацию

Приоритизируйте исправление интернет-приложений в первую очередь. При обновлении систем управления контентом, таких как WordPress, необходимо обновлять не только сам WordPress и плагины, но и базовую среду выполнения PHP. Там, где обновление невозможно, проведите оценку рисков, учитывая, хранит ли память приложения пароли, токены или ключи API. Команда PHP предоставляет рекомендации по настройкам, которые могут снизить экспозицию для определённых атак, но не делают приложение или систему безопасными от всех возможных путей атак. В крайнем случае систему необходимо отключить. Одновременно ищите признаки компрометации. У злоумышленников было преимущество, поэтому само по себе исправление не устраняет инцидент. Ищите веб-оболочки, подозрительные дочерние процессы, запущенные PHP, неожиданные изменения файлов и новые учётные записи администраторов в любой системе, где использовалась уязвимая версия. Выявите и устраните неподдерживаемые версии PHP. PHP не выпускает исправления для PHP 8.1 или старше, хотя добавила некоторые бэкпорты для клиентов, собирающих из исходного кода. Некоторые дистрибутивы Linux и поставщики долгосрочной поддержки предлагают бэкпорты. По оценкам, 59% интернет-хостов используют версию, для которой исправление не будет выпущено. Если ваша инвентаризация SBOM указывает на неподдерживаемую версию в приложениях, контейнерах или устройствах, необходимо разработать план смягчения последствий. В краткосрочной перспективе сервисы, такие как HeroDevs, предлагают бэкпортирование исправлений для старых версий. Проконсультируйтесь с поставщиками решений для защиты веб-приложений и платформ проактивной безопасности. Некоторые поставщики платформ защиты веб-приложений опубликовали рекомендации, выделяя обновлённые наборы правил и защиты, блокирующие эксплойты CVE-2026-109618 и CVE-2026-109619. Другие поставщики могли предоставить обновления или рекомендации напрямую клиентам через оповещения в продукте или сообщения в сообществе клиентов. Если вы ещё не получили информацию от своего поставщика, свяжитесь с ним и уточните, какие защиты активны автоматически или требуется ли обновление конфигураций. Правила и защиты WAF следует рассматривать как дополнительную меру, а не замену исправлений. Многие поставщики платформ проактивной безопасности, такие как Tenable и Wiz, предоставляют наборы экстренного реагирования, которые уже выявили области уязвимости для запуска рабочих процессов по устранению. Возможно, потребуется обновить плагины от этих поставщиков для дополнительного обнаружения. Тестируйте и контролируйте развёртывание. Немедленное исправление систем понятно, но поспешное развёртывание может привести к нестабильности производства. При исправлении систем в облаке используйте развёртывание по схеме «синий/зелёный» или балансировщики нагрузки для направления части трафика на исправленные системы. Для приложений на конечных точках используйте поэтапное развёртывание, обновляя сначала небольшую группу систем, проверяя наличие проблем, а затем развёртывая на большие группы. Остерегайтесь дезинформации. В ночь с 20 на 21 октября в социальных сетях распространялись предлагаемые меры по смягчению последствий, включая изменение настроек в файле конфигурации PHP. Позже фирма безопасности, предложившая исправление, обновила информацию, указав, что изменение конфигурации недостаточно. В динамичной ситуации, особенно до появления исправления, исследователи экспериментируют с другими мерами. Не принимайте их на веру, пока они не будут полностью проверены. PHP предоставила рекомендации по настройкам, которые могут снизить экспозицию, но владельцы проектов предупреждают, что эти настройки «не делают установку безопасной». Не ждите KEV. Если существует путь эксплуатации, закройте его. Исследователи отметили, что обнаруженные уязвимости существуют в версиях PHP возрастом до десяти лет. Они смогли выявить уязвимости благодаря использованию новейших моделей для помощи в обнаружении и анализе. Искусственный интеллект улучшает обнаружение уязвимостей и ускоряет написание эксплойтов. Теперь, когда эксплойты для новых уязвимостей тривиальны, ожидание доказательств активной эксплуатации становится менее важным для стратегии приоритизации. Уязвимости PHP2Shell не зарегистрированы в каталоге CISA Known Exploited Vulnerabilities (KEV), но CISA выпустила предупреждение, призывающее организации немедленно установить исправления. Другие источники и поставщики KEV сообщают об эксплуатации и попытках сканирования, но неясно, были ли успешные эксплуатации в реальных условиях. Ваши дни ожидания публикации KEV от CISA перед ускорением устранения закончились. Уязвимость такого масштаба является проблемой уровня совета директоров. Forrester выпустил отчёт CISO Board Update: PHP2Shell, чтобы помочь вам проинформировать совет директоров по этому вопросу.