CISA-ն KEV կատալոգում ավելացրեց PHP2Shell RCE-ի երկու խոցելիություն

CISA-ն հաստատել է PHP2Shell-ի երկու խոցելիության ակտիվ շահագործումը և դրանք ավելացրել Known Exploited Vulnerabilities կատալոգում։ Երկուսն էլ CVSS 9.2 գնահատականով են և թույլ են տալիս չնույնականացված RCE ազդակիր PHP տեղակայումներում։ Perplexity-ի Adel Karimi-ն հաստատել է հաջող RCE honeypot համակարգերի դեմ 2026 թ. հոկտեմբերի 24-ին։

Ինչ է հաստատել CISA-ն

Երկու խոցելիություններն են CVE-2026-109618-ը՝ հիշողության սպառման աղավաղում, և CVE-2026-109619-ը՝ հնացած ներքին request-state թերություն։ CISA-ն երկուսն էլ ավելացրել է KEV կատալոգում այն բանից հետո, երբ Karimi-ն հայտնել է հաստատված RCE-ի մասին՝ օգտագործելի հիշողության բացահայտմամբ։ Karimi-ն ասել է, որ պատասխանը տվել է 800 KiB ապակոդավորված cookie dump, և որ այդ dump-ից ստացված ֆունկցիայի հասցեն, հանրային exploit-ի offsets-ով, հայտնվում է հաջորդ execution payload-ում։ Նա նաև ասել է, որ ապացույցը ցույց է տալիս շղթան դիտավորյալ նպաստավոր single-worker mod_php պրոֆիլում և չափում չէ exploit-ի հուսալիության այլ worker counts-ի, PHP builds-ի կամ հավելվածների համար։

Շտկումներ և վերջնաժամկետներ

Խնդիրները շտկվել են PHP 8.5.12, 8.4.27, 8.3.36 և 8.2.35 տարբերակներում, թողարկված 2026 թ. հոկտեմբերի 21-ին։ Դաշնային գործակալությունները պետք է կիրառեն շտկումները մինչև 2026 թ. հոկտեմբերի 29-ը։ Censys-ի գնահատականներով՝ ավելի քան 32.51 միլիոն PHP ծառայություն դեռ աշխատում է ազդակիր տարբերակով։ PHP-ն օգտագործում են ինտերնետի կայքերի մոտ 70%-ը։ Խոցելիությունների լրջությունը հանգեցրել է բազմաթիվ ծրագրային, անվտանգության և պետական կազմակերպությունների զգուշացումների, ներառյալ ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Dell, Dormakaba, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems և WordPress։

Windows-ի կառուցվածքների հետ կապված խնդիր

2026 թ. հոկտեմբերի 26-ի դրությամբ PHP Foundation-ը նաև թողարկել է Windows-ի 8.5.12-1, 8.4.27-1, 8.3.36-1 և 8.2.35-1 կառուցվածքները՝ CVE-2026-111497-ը լուծելու համար։ Այդ թերությունը Brotli ապակոդավորիչի գրադարանում սահմաններից դուրս գրելու խոցելիություն է, որը կարող է նաև հանգեցնել արտոնությունների բարձրացման և չնույնականացված RCE-ի։ Խոցելիությունը, որը նաև կոչվում է Broccoli2Shell, HTTP2Shell և Node2Shell, ազդում է Brotli 1.0.3-ից մինչև 1.0.9, 1.1.0 և 1.2.0 տարբերակների վրա։ Այն շտկվել է 1.0.10, 1.1.1 և 1.2.1 տարբերակներում, և այլ նախագծերում, որոնք ներառում են C գրադարանը, ներառյալ Node.js, Bun, Envoy Proxy, Istio, .NET և Python։ «PHP-ի Windows կառուցվածքներում խոցելի ապակոդավորիչին կարելի է հասնել cURL ընդլայնման միջոցով, երբ միացված է HTTP պատասխանի ավտոմատ ապասեղմումը», ասել է PHP Foundation-ը։ «Սա լռելյայն անջատված է cURL-ում, սակայն հավելվածները և HTTP client գրադարանները կարող են միացնել այն»։

Նախկին լուսաբանում: VulnCheck-ը մշակել է PHP2Shell exploit, որը շրջանցում է ASLR-ը արտադրական համակարգերում · PHP-ն նշում է չշտկված RCE ռիսկ նեղ կարգաբերման մեջ PHP2Shell-ի արտակարգ շտկումներից հետո

Աղբյուրներ: The Hacker News