PHP Foundation випустила термінові оновлення через дві критичні вразливості
PHP Foundation випустила оновлення для двох критичних вразливостей, що можуть загрожувати мільйонам сайтів.
PHP Foundation випустила термінові оновлення безпеки для усунення двох критичних вразливостей у мові програмування PHP, які можуть зачепити мільйони сайтів. Як повідомляє Wired, недоліки CVE-2026-109618 і CVE-2026-109619 стосуються всіх інсталяцій PHP, що обробляють вебзапити, починаючи з PHP 5, випущеної у липні 2004 року.
Підтримуваними нині є версії PHP 8.2 і новіші, для яких доступні виправлення. Фонд PHP зазначив, що деякі дистрибутиви та сторонні постачальники також можуть випускати оновлення для застарілих версій. Водночас розробники наголосили: повністю безпечної альтернативи оновленню немає.
Ризик віддаленого доступу
За даними дослідників Wiz, вразливості можуть дозволити неавтентифікованим зловмисникам виконувати код на уражених серверах або читати чутливу пам’ять процесів. У такій пам’яті можуть міститися паролі, токени автентифікації, ключі API та сертифікати, пов’язані з іншими запитами або самим сервером.
Незалежний консультант із безпеки та запрошений старший науковий співробітник Королівського коледжу Лондона Лукаш Олейнік закликав не зволікати з оновленням. Він попередив, що у найгіршому разі зловмисники можуть використати вразливості для поширення мережевого шкідливого програмного забезпечення на значній частині інтернет-інфраструктури.
Компанія Cloudflare повідомила, що ще до публікації технічних деталей виявила перші атаки. Фахівець із безпеки та відповідності Деві Оттенгаймер заявив, що проблема пов’язана з інтерфейсом завантаження файлів: для атаки достатньо надіслати спеціально сформований файл на доступний сервер.
Рекомендації для адміністраторів
Напередодні виходу оновлень окремі організації превентивно відключали сайти. За повідомленнями Reuters, були недоступні кілька сайтів фінського уряду, французькі урядові ресурси та сайт порту Роттердама.
Попередження про майбутні виправлення PHP Foundation оприлюднила 20 жовтня. Тоді обидві вразливості оцінили у 9,2 бала з 10 за шкалою CVSS. Британський Національний центр кібербезпеки рекомендував організаціям визначити системи з PHP, передусім доступні з інтернету, невідкладно встановити оновлення та стежити за можливими ознаками експлуатації. Якщо оперативно усунути проблему неможливо, центр радить розглянути тимчасове відключення системи.
