CISA KEV kataloquna iki PHP2Shell RCE zəifliyini əlavə etdi

CISA iki PHP2Shell zəifliyinin aktiv istismarını təsdiqlədi və onları Məlum İstismar Olunan Zəifliklər (KEV) kataloquna əlavə etdi. Hər iki zəiflik CVSS şkalasında 9.2 bal ilə qiymətləndirilib və təsirlənmiş PHP qurğularında kimlik doğrulamasız uzaqdan kod icrasına imkan verir. Perplexity-dən Adel Karimi 24 oktyabr 2026-cı ildə honeypot sistemlərinə qarşı uğurlu uzaqdan kod icrasını təsdiqlədi.

CISA nəyi təsdiqlədi

İki zəiflik CVE-2026-109618, yaddaş tükənməsindən qaynaqlanan pozğunluq zəifliyi, və CVE-2026-109619, köhnəlmiş daxili sorğu vəziyyəti zəifliyidir. CISA hər ikisini Karimi istifadəyə yararlı yaddaş ifşası ilə təsdiqlənmiş uzaqdan kod icrası bildirdikdən sonra KEV kataloquna əlavə etdi. Karimi dedi ki, cavab 800 KiB həcmində dekod edilmiş cookie dump-u verib və həmin dump-dan ictimai exploit-in offsetləri ilə əldə edilən funksiya ünvanı sonrakı icra payload-unda görünür. O həmçinin dedi ki, sübutlar zənciri qəsdən əlverişli tək worker-li mod_php profilində göstərir və bu, digər worker sayılarında, PHP qurğularında və ya tətbiqlərdə exploit etibarlılığının ölçüsü deyil.

Yamaqlar və son tarixlər

Problemlər 21 oktyabr 2026-cı ildə buraxılmış PHP 8.5.12, 8.4.27, 8.3.36 və 8.2.35 versiyalarında həll edilib. Federal agentliklər lazımi düzəlişləri 29 oktyabr 2026-cı ilə qədər tətbiq etməlidir. Censys-in paylaşdığı qiymətləndirmələrə görə, 32.51 milyondan çox PHP xidməti hələ də təsirlənmiş versiyada işləyir. PHP internetdəki bütün veb-saytların təxminən 70%-ində istifadə olunur. Zəifliklərin ciddiliyi çoxsaylı proqram təminatı, təhlükəsizlik və hökumət təşkilatlarından xəbərdarlıqlara səbəb oldu, o cümlədən ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Dell, Dormakaba, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems və WordPress.

Əlaqəli Windows qurğusu məsələsi

26 oktyabr 2026-cı il tarixindən etibarən PHP Foundation həmçinin CVE-2026-111497-ni həll etmək üçün Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 və 8.2.35-1 qurğularını buraxdı. Bu zəiflik Brotli dekoder kitabxanasında hüdudsuz yazma zəifliyidir və həmçinin imtiyaz yüksəldilməsinə və kimlik doğrulamasız uzaqdan kod icrasına səbəb ola bilər. Broccoli2Shell, HTTP2Shell və Node2Shell kimi də tanınan zəiflik Brotli-nin 1.0.3-dən 1.0.9-a, 1.1.0 və 1.2.0 versiyalarına təsir edir. O, 1.0.10, 1.1.1 və 1.2.1 versiyalarında, eləcə də C kitabxanasını özündə birləşdirən digər layihələrdə, o cümlədən Node.js, Bun, Envoy Proxy, Istio, .NET və Python-da yamaqlanıb. "PHP Windows qurğularında zəif dekoder, avtomatik HTTP cavab dekompressiyası aktiv olduqda cURL uzantısı vasitəsilə əlçatan ola bilər," PHP Foundation bildirdi. "Bu, cURL-da default olaraq deaktivdir, lakin tətbiqlər və HTTP müştəri kitabxanaları onu aktiv edə bilər."

Əvvəlki yazılar: VulnCheck istehsal sistemlərində ASLR-i keçən PHP2Shell exploit hazırlayır · PHP PHP2Shell təcili yamaqlarından sonra dar qurğuda yamaqlanmamış RCE riski barədə xəbərdarlıq edir

Mənbələr: The Hacker News