PHP-ն ազդարարում է չշտկված RCE ռիսկի մասին նեղ կարգավորումներում PHP2Shell արտակարգ շտկումներից հետո

PHP-ն զգուշացրել է կոդի կատարման ևս մեկ ուղու մասին՝ PHP2Shell-ի արտակարգ շտկումներից երկու օր անց։ Նոր խնդիրը CVE-2026-115560-ն է և, ըստ նախագծի, ազդում է միայն անսովոր կարգավորված վեբ հավելվածների վրա։ PHP-ն այն քիչ հավանական է համարում և արտակարգ շտկում չի թողարկում։

Նոր ծանուցում

Ծանուցումը հրապարակվել է հոկտեմբերի 23-ին։ PHP-ն խորհուրդ է տալիս անջատել session upload progress-ը մինչև հաջորդ սովորական թողարկման շտկումը՝ session.upload_progress.enabled=0։

Սա նույն կարգավորումն է, որը PHP-ն նշել էր հոկտեմբերի 21-ի CVE-2026-109619 ծանուցման մեջ։ Ով կիրառել ու թողել է, ոչինչ չպետք է անի։ Session upload progress-ը լռելյայն միացված է և թույլ է տալիս հետևել ֆայլի վերբեռնմանը։

Նեղ կարգավորում

PHP-ն ասում է, որ խնդիրը ծագում է, երբ հավելվածը session.serialize_handler-ը դնում է php_binary կամ php_serialize, ապա աշխատելիս ini_set()-ով փոխում է php-ի՝ session_start()-ից առաջ։ Session upload progress-ը պետք է միացված լինի։

Եթե հավելվածը աշխատելիս չի փոխում serialize handler-ը, այն կարող է գործառույթը թողնել միացված և այս ուղով ռիսկի չի ենթարկվի, ըստ PHP-ի։ Նախագիծն այն քիչ հավանական է համարում։ Քանի որ կարգավորումը տարածված չէ, շտկումը կմտնի սովորական ցիկլ, և CVE-2026-115560-ի ամբողջական ծանուցումը կհրապարակվի հաջորդ թողարկման հետ։

PHP-ն չի նշել ազդված տարբերակները, շտկող թողարկումները կամ խստության գնահատականը։ Նաև չի ասել՝ արդյոք նոր խնդիրն ընդհանուր պատճառ ունի CVE-2026-109619-ի հետ։ CVE-2026-115560-ի շահագործում չի հաղորդվել։

PHP2Shell խոցելիություններ

Նոր խնդիրը հաջորդում է հոկտեմբերի 21-ի արտակարգ թողարկմանը, որը շտկեց CVE-2026-109618 և CVE-2026-109619 կրիտիկական PHP2Shell խոցելիությունները, որոնք թույլ էին տալիս առանց հաշվի կոդ գործարկել սերվերի վրա։ Դրանք շտկվել են PHP 8.5.12, 8.4.27, 8.3.36 և 8.2.35-ում։ Նոր խնդիրը առանձին է և այդ թողարկումներով չի շտկվում։

Հոկտեմբերի 21-ից հաղորդված հարձակումները թիրախավորում են նախորդ երկու PHP2Shell խոցելիությունները։ Դրանք շահագործելու փորձերը կտրուկ աճել են։ Amazon-ը հայտնել է, որ honeypot-ները գրանցել են CVE-2026-109618-ի և CVE-2026-109619-ի դեմ փորձ հոկտեմբերի 17-ին՝ բացահայտումից չորս օր առաջ։ Cloudflare-ը հայտնել է, որ փորձերը հոկտեմբերի 21-ի բացահայտումից 45 րոպեում տասնյակ հազարներից դարձել են միլիոններ հոկտեմբերի 22-ի սկզբին։

Հարձակվողները փորձել են տեղադրել Mirai botnet-ի տարբերակ, ըստ Sophos-ի և Arctic Wolf-ի։ Փորձերը մինչ այժմ ձախողվել են. Previdian-ը, Wordfence-ը և ուրիշներ հայտնում են սկանավորման ու հետազոտման մասին, բայց կոդի կատարում չի հաստատվել, և հետազոտողներն ասում են, որ հուսալի շահագործումը սպասվածից դժվար է։ Այդ ակտիվությունը թիրախավորում է հոկտեմբերի 21-ին շտկված երկու խոցելիությունները, ոչ թե CVE-2026-115560-ը, որի վրա հարձակում չի հաղորդվել։

Ավելի վաղ լուսաբանում: PHP2Shell-ի շտկումները. ինչն է ռիսկի տակ և ինչպես պաշտպանել PHP կայքերը · VulnCheck-ը մշակել է PHP2Shell շահագործում, որը շրջանցում է ASLR-ը արտադրական համակարգերում

Աղբյուրներ: The Hacker News · PHP · CERT-EU