PHP-ն պլանավորում է արտակարգ անվտանգության թողարկում երկու կրիտիկական RCE խոցելիությունների համար

Արտակարգ թողարկումը նախատեսված է

PHP-ն 2026 թվականի հոկտեմբերի 21-ին՝ ժամը 14:00 UTC-ին, կթողարկի ժամանակացույցից դուրս անվտանգության թարմացում երկու կրիտիկական խոցելիությունների համար, որոնք իր անվտանգության թիմը գնահատել է 9.2 միավոր CVSS v4.0 սանդղակով։ Ըստ watchTowr-ի հետազոտողների՝ այդ խոցելիությունները հնարավորություն են տալիս հեռահար կոդ կատարել։ Մինչ այժմ շահագործման դեպքեր չեն գրանցվել։ Ուղղումը կարող են ստանալ միայն PHP-ի չորս սպասարկվող ճյուղերը՝ 8.2-ից 8.5-ը ներառյալ։ PHP-ն կարող է ավելի վաղ թողարկել թարմացումը, եթե մանրամասները հրապարակվեն կամ ակտիվ շահագործման ապացույցներ հայտնվեն։

Արտահոսքը շտապ ծանուցման պատճառ դարձավ

Հոկտեմբերի 20-ին Hacker News-ում հրապարակված գրառման հեղինակը պնդում էր, որ հոկտեմբերի 22-ին կհրապարակվեն PHP-ի հեռահար կոդի կատարման երկու խոցելիություններ՝ CVSS 10.0 գնահատականով, որոնք վերաբերում են PHP 5-ից սկսած տարբերակներին։ Նա որևէ ստուգելի ապացույց չի ներկայացրել։ Ավելի ուշ watchTowr-ը հաստատեց, որ արտահոսած տեղեկությունը ճշմարիտ է, և որ խոցելիությունները գտնվում էին էմբարգոյի տակ։ PHP-ն իր նախնական ծանուցումը հրապարակեց հոկտեմբերի 20-ին՝ ժամը 19:33 UTC-ին, և թողարկումը նշանակեց հոկտեմբերի 21-ին՝ արտահոսքի մեջ նշված ամսաթվից մեկ օր առաջ։ Արտահոսքը պարունակում էր երկու CVE նույնացուցիչ՝ CVE-2026-109618 և CVE-2026-109619, սակայն PHP-ի ծանուցումը դրանցից ոչ մեկը չի նշում։ Այն պնդումը, թե PHP 5-ից սկսած բոլոր տարբերակները խոցելի են, պաշտոնական ծանուցմամբ դեռ չի հաստատվել։

Սպասարկվող ճյուղերը և սպասվող տարբերակները

PHP-ն ուղղումներ է թողարկում միայն իր չորս սպասարկվող ճյուղերի համար։ 8.2 և 8.3 տարբերակները ստանում են միայն անվտանգության ուղղումներ՝ մինչև 2026 թվականի դեկտեմբերի 31-ը և 2027 թվականի դեկտեմբերի 31-ը համապատասխանաբար։ 8.4 և 8.5 տարբերակները գտնվում են ակտիվ սպասարկման փուլում՝ մինչև 2026 թվականի դեկտեմբերի 31-ը և 2027 թվականի դեկտեմբերի 31-ը համապատասխանաբար։ Հետևող գործիքները, այդ թվում Alpine Linux-ը, և անվտանգության հետազոտող Kevin Beaumont-ը սպասում են, որ ուղղումները կթողարկվեն որպես PHP 8.5.12, 8.4.27, 8.3.36 և 8.2.35, թեև PHP-ն այդ համարները չի հաստատել։ 8.2-ից հին ճյուղերը, ներառյալ 8.1, 8.0, 7.x և 5.x, ավարտել են աջակցության ժամկետը և մատակարարի ուղղում չեն ստանա։

Մեղմացման ուղեցույց ադմինիստրատորների համար

PHP-ն որևէ շրջանցող լուծում չի հրապարակել։ Ադմինիստրատորները պետք է հաշվառեն յուրաքանչյուր PHP տեղադրում, ներառյալ մատակարարի սարքերում, Windows ծրագրերում և cPanel-ի ու Plesk-ի նման կառավարման վահանակներում ներառված տարբերակները։ Պատրաստ եղեք թարմացնել ժամը 14:00 UTC-ին։ Առաջին հերթին ուղղեք ինտերնետից հասանելի համակարգերը և ստուգեք Linux-ի դիստրիբուտիվներում ու հոսթինգի մատակարարների մոտ հետադարձ փոխանցված փաթեթները։ Աջակցության ժամկետը լրացած ճյուղերում թարմացրեք համակարգը, անջատեք այն ինտերնետից կամ տեղադրեք VPN-ի կամ վեբ հավելվածի ֆայրվոլի հետևում։ CERT-EU-ն խորհուրդ է տալիս մինչև ուղղման հրապարակումը ինտերնետից հասանելի հավելվածները մեկուսացնել հանրային ցանցերից։ Հետևեք, թե արդյոք php-fpm-ը, php-cgi-ն, httpd-ն կամ apache2-ը գործարկում են պատյաններ, ինտերպրետատորներ կամ ներբեռնման գործիքներ։ Florian Roth-ի գործընթացների դիտիչը գրանցում է PHP գործընթացի գործարկած յուրաքանչյուր ծրագիր, սակայն ոչինչ չի կանխում։ Եթե կասկածելի ակտիվություն հայտնաբերեք, մեկուսացրեք սերվերը, պահպանեք մատյանները և փնտրեք վեբ-պատյաններ, վեբ արմատում նոր ֆայլեր, նոր cron առաջադրանքներ, պլանավորված առաջադրանքներ և հաշիվներ։ 2026 թվականի հոկտեմբերի 21-ի դրությամբ շահագործման դեպքեր չեն գրանցվել, և խոցելիությունները ներառված չեն CISA-ի Known Exploited Vulnerabilities կատալոգում։

Աղբյուրներ: The Hacker News · Ars Technica · Php.Net