PHP İki Kritik RCE Zəifliyi Üçün Təcili Təhlükəsizlik Buraxılışı Planlaşdırır

Təcili Buraxılış Planlaşdırılıb

PHP 2026-cı il oktyabrın 21-də saat 14:00 UTC-da CVSS v4.0 şkalası üzrə 9.2 bal alan iki kritik zəiflik üçün növbədənkənar təhlükəsizlik buraxılışı çıxaracaq. watchTowr araşdırmaçılarına görə, bu zəifliklər uzaqdan kod icrasına imkan verir. Hələlik istismar halı barədə məlumat yoxdur. Düzəlişi yalnız 8.2-dən 8.5-ə qədər olan dörd dəstəklənən PHP budağı ala bilər. Detallar ictimai olarsa və ya aktiv istismarın sübutu ortaya çıxarsa, PHP buraxılışı daha erkən çıxara bilər.

Sızma Erkən Xəbərdarlığa Səbəb Oldu

Oktyabrın 20-də Hacker News-da dərc olunan yazıda CVSS 10.0 balı ilə qiymətləndirilən və PHP 5-dən başlayaraq versiyalara təsir edən iki PHP uzaqdan kod icrası zəifliyinin oktyabrın 22-də açıqlanacağı iddia edilirdi. Yazının müəllifi heç bir yoxlanıla bilən sübut təqdim etmədi. watchTowr sonradan sızmanın həqiqi olduğunu və zəifliklərin embarqo altında olduğunu təsdiqlədi. PHP öz öncədən xəbərdarlığını oktyabrın 20-də saat 19:33 UTC-da dərc etdi və buraxılışı oktyabrın 21-nə, sızmanın göstərdiyi tarixdən bir gün əvvələ keçirdi. Sızma iki CVE identifikatorunu əhatə edirdi: CVE-2026-109618 və CVE-2026-109619. Lakin PHP-nin bildirişində onların heç biri adlandırılmayıb. PHP 5-dən başlayaraq hər versiyanın təsirə məruz qaldığı iddiası rəsmi xəbərdarlıqla təsdiqlənməyib.

Dəstəklənən Budaqlar və Gözlənilən Versiyalar

PHP düzəlişləri yalnız dörd dəstəklənən budaq üçün buraxır. 8.2 və 8.3 versiyaları müvafiq olaraq 31 dekabr 2026 və 31 dekabr 2027 tarixinə qədər yalnız təhlükəsizlik düzəlişləri alır. 8.4 və 8.5 versiyaları müvafiq olaraq 31 dekabr 2026 və 31 dekabr 2027 tarixinə qədər aktiv dəstəkdədir. Alpine Linux və təhlükəsizlik tədqiqatçısı Kevin Beaumont kimi izləyicilər düzəlişlərin PHP 8.5.12, 8.4.27, 8.3.36 və 8.2.35 kimi buraxılacağını gözləyir, lakin PHP bu rəqəmləri təsdiqləməyib. 8.2-dən köhnə budaqlar, o cümlədən 8.1, 8.0, 7.x və 5.x, dəstək müddətini başa vurub və istehsalçıdan yamaq almayacaq.

Administratorlar üçün Tədbirlər

PHP heç bir müvəqqəti həll dərc etməyib. Administratorlar hər PHP quraşdırmasını, o cümlədən istehsalçı cihazlarında, Windows proqramlarında və cPanel, Plesk kimi idarəetmə panellərində olan quraşdırmaları siyahıya almalıdır. Saat 14:00 UTC-da yeniləməyə hazır olun. İnternetə açıq sistemləri ilk növbədə yamaqlayın və Linux distributivlərində, həmçinin hostinq provayderlərində geriyə daşınmış paketləri yoxlayın. Dəstək müddəti bitmiş budaqlarda sistemi yeniləyin, internetdən ayırın və ya VPN yaxud veb tətbiq firewallu arxasına qoyun. CERT-EU düzəliş mövcud olana qədər internetə açıq tətbiqlərin ictimai şəbəkələrdən təcrid edilməsini tövsiyə edir. php-fpm, php-cgi, httpd və ya apache2-nin shell, interpretator və ya yükləmə aləti başlatmasını izləyin. Florian Roth-un proses izləyicisi PHP prosesinin başlatdığı hər proqramı qeyd edir, lakin heç nəyin qarşısını almır. Şübhəli fəaliyyət aşkar etsəniz, serveri təcrid edin, logları qoruyun və veb shell-ləri, veb kökündəki yeni faylları, yeni cron tapşırıqlarını, planlaşdırılmış tapşırıqları və hesabları axtarın. 21 oktyabr tarixinə olan məlumata görə istismar halı qeydə alınmayıb və zəifliklər CISA-nın Known Exploited Vulnerabilities kataloqunda yoxdur.

Mənbələr: The Hacker News · Ars Technica · Php.Net