PHP и GitLab: критические уязвимости, найденные ИИ, требуют срочных обновлений

PHP и GitLab получили критические уязвимости

Во второй половине октября 2024 года две критические уязвимости в PHP и GitLab потребовали срочного обновления серверов. Часть государственных и коммерческих сайтов временно ушла в офлайн. Обе уязвимости позволяют выполнить код на сервере без авторизации. Они затрагивают версии продуктов, выпущенные более десяти лет назад.

PHP2Shell угрожает 70% веб-приложений

21 октября команда PHP выпустила экстренные обновления для закрытия двух уязвимостей под общим названием PHP2Shell. Им присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку 9,2 балла из 10 по шкале CVSS 4.0. Первая ошибка проявляется при совпадении запроса с лимитом памяти, когда внутренние структуры остаются частично инициализированными. Вторая относится к классу use-after-free: процесс сохраняет ссылку на освобожденную память, и следующий запрос обращается к ней до ее очистки. В обоих случаях атакующему достаточно отправить специально подготовленный HTTP-запрос для выполнения произвольного кода без учетной записи. Уязвимы все способы обслуживания запросов, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наиболее опасным вариантом команда PHP называет mod_php, где вредоносный запрос срабатывает до запуска кода сайта. Затронуты версии до 5.4 включительно. Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для неподдерживаемых веток 7.4, 8.0 и 8.1 команда выпустила исправления для самостоятельной сборки.

GitLab эксплуатирует двенадцать лет уязвимых релизов

В тот же день GitLab закрыл уязвимость CVE-2026-110264 с максимальной оценкой 10.0. Целочисленное переполнение при компиляции специально составленного регулярного выражения позволяет неавторизованному пользователю выполнить код на сервере. Ошибка находится в Onigmo, движке регулярных выражений Ruby, который GitLab поставляет в своих пакетах. Этот движок входит в GitLab с версии 7.0, поэтому уязвимы все релизы с 2014 года. За месяц до этого исследователь сообщил о четырех уязвимостях выполнения кода в одном компоненте. Исправление от 12 октября закрывало предыдущую ошибку только для версий 19.2 и новее. Администраторы, обновившиеся девятью днями ранее, снова оказались в зоне риска. Компания не раскрыла условия, при которых атакующий может добраться до уязвимого кода, и не предложила временного обходного решения. Сообщений о реальной эксплуатации пока не поступало.

ИИ нашел уязвимости в PHP и GitLab

Обе уязвимости PHP найдены с помощью искусственного интеллекта. Одну обнаружила команда Calif в ходе аудита PHP по программе OpenAI «Patch the Planet». Компания Wiz независимо нашла и передала разработчикам обе ошибки. В OpenAI заявили, что их модели нашли эти уязвимости раньше злоумышленников. Модели, помогающие исследователям находить дефекты в обращении к памяти, также помогают разбирать опубликованные исправления и собирать по ним эксплойты. В случае PHP2Shell идентификаторы и часть технических сведений попали в открытый доступ за день до планового раскрытия. Уже 22 октября исследователи VulnCheck показали эксплойт, обходящий защиту ASLR и работающий на версиях PHP от 8.4.10 до 8.4.26. Специалисты watchTowr сообщали о попытках эксплуатации в первые дни после раскрытия.

Обновить PHP и GitLab до актуальных версий

Рекомендуется в первую очередь установить исправления PHP и GitLab, начав с систем, доступных из интернета. Параллельно стоит провести инвентаризацию и выяснить, в каких работающих контейнерах остались уязвимые версии, включая сторонние продукты со встроенным PHP. На время обновления уязвимые нагрузки нужно взять под runtime-контроль с правилами на запуск оболочек и ограничением сетевых соединений. После этого имеет смысл закрепить результат проверками в CI, чтобы старые уязвимости не вернулись в кластер с очередным деплоем.