PHP, PHP2Shell təcili yamalarından sonra dar quraşdırmada yamaqsız RCE riskini bildirir

PHP, kritik PHP2Shell qüsurları üçün təcili düzəlişlərdən iki gün sonra hücumçunun veb serverdə kod işlətməsinin başqa yolunu bildirib. Layihəyə görə, yeni problem CVE-2026-115560-dır və yalnız qeyri-adi konfiqurasiyalı veb tətbiqlərə təsir edir. PHP bunu az ehtimallı risk sayır və təcili düzəliş buraxmır.

Yeni məsləhət və tövsiyə edilən azaltma

Xəbərdarlıq oktyabrın 23-də qısa məlumat məsləhətində verilib. PHP növbəti adi buraxılışda düzəlişə qədər session upload progress funksiyasını söndürməyi tövsiyə edir. Tədbir bir sətirdir: növbəti adi buqfix buraxılışına qədər session.upload_progress.enabled=0 təyin edin.

Bu, PHP-nin CVE-2026-109619 üçün oktyabrın 21-dəki məsləhətində artıq azaltma tədbiri kimi göstərdiyi eyni parametrdir. O vaxt tətbiq edib saxlayanlar yeni problem üçün əlavə iş görməməlidir. Session upload progress standart aktivdir və fayl yükləmə gedişatını izləyir.

Dar konfiqurasiya risk altındadır

PHP deyir ki, problem veb tətbiq bütün bunları edəndə yaranır: konfiqurasiyada session.serialize_handler-i php_binary və ya php_serialize edir, sonra işləyərkən ini_set() ilə php-ə dəyişir və bunu session_start() çağırışından əvvəl edir. Session upload progress də aktiv qalmalıdır.

PHP-ə görə, işləyərkən serialize handler-i dəyişməyən tətbiq funksiyanı aktiv saxlaya bilər və bu yolla təsirlənmir. Layihə bu quraşdırmanı praktikada az ehtimallı sayır. Bu səbəbdən düzəliş təcili deyil, adi buraxılış dövrünə salınıb və CVE-2026-115560 üçün tam məsləhət növbəti buraxılışla dərc olunacaq.

PHP təsirlənən versiyaları, düzəlişi ehtiva edəcək buraxılışları və ciddilik balını açıqlamayıb. Yeni problemin CVE-2026-109619 ilə eyni kök səbəbi paylaşdığını da deməyib. CVE-2026-115560 istismarı barədə məlumat yoxdur.

Əvvəlki PHP2Shell qüsurları və hücum fəaliyyəti

Yeni problem oktyabrın 21-də iki kritik PHP2Shell qüsuru, CVE-2026-109618 və CVE-2026-109619 üçün təcili buraxılışdan sonra gəlib. Həmin qüsurlar hesabsız hücumçunun serverdə kod işlətməsinə imkan verirdi. Onlar PHP 8.5.12, 8.4.27, 8.3.36 və 8.2.35-də yamaqlanıb. Yeni problem ayrıdır və bu buraxılışlarla düzəlmir.

Oktyabrın 21-dən bəri hücumlar əvvəlki iki PHP2Shell qüsurunu hədəfləyir. İstismar cəhdləri kəskin artıb. Amazon deyir ki, honeypotları oktyabrın 17-də, açıqlamadan dörd gün əvvəl CVE-2026-109618 və CVE-2026-109619-a qarşı cəhd qeydə alıb. Cloudflare deyir ki, cəhdlər oktyabrın 21-dəki açıqlamadan 45 dəqiqə ərzində on minlərlədən oktyabrın 22-nin əvvəlində milyonlara çatıb.

Sophos və Arctic Wolf-a görə, hücumçular Mirai botnet variantı quraşdırmağa çalışıb. Cəhdlər indiyədək uğursuzdur: Previdian, Wordfence və başqaları skan və yoxlama bildirir, təsdiqlənmiş kod icrası yoxdur, tədqiqatçılar etibarlı istismarın gözlənildiyindən çətin olduğunu deyir. Fəaliyyət oktyabrın 21-də yamaqlanmış iki qüsura aiddir, hücum altında olduğu bildirilməyən CVE-2026-115560-a yox.

Əvvəlki materiallar: PHP2Shell yamaları hazırdır: risklər və PHP saytlarının qorunması · VulnCheck istehsalat sistemlərində ASLR-i yan keçən PHP2Shell istismarı hazırlayır

Mənbələr: The Hacker News · PHP · CERT-EU