CISA-მ KEV კატალოგში ორი PHP2Shell-ის RCE ხარვეზი დაამატა

CISA-მ ორი PHP2Shell-ის ხარვეზის აქტიური ექსპლუატაცია დაადასტურა და ისინი KEV კატალოგში დაამატა. ორივეს CVSS 9,2 აქვს და დაუცველ PHP განლაგებებზე აუთენტიფიცირებული დისტანციური კოდის შესრულების საშუალებას იძლევა. Perplexity-ის Adel Karimi-მ 2026 წლის 24 ოქტომბერს honeypot სისტემებზე წარმატებული RCE დაადასტურა.

რა დაადასტურა CISA-მ

საუბარია CVE-2026-109618-ზე, მეხსიერების ამოწურვის გამო დაზიანების ხარვეზზე, და CVE-2026-109619-ზე, მოძველებული შიდა request-state-ის ხარვეზზე. CISA-მ ორივე KEV-ში მას შემდეგ დაამატა, რაც Karimi-მ RCE გამოსაყენებელი მეხსიერების გამჟღავნებით დაადასტურა. Karimi-ის თქმით, პასუხმა 800 KiB decoded cookie dump დააბრუნა და ამ dump-იდან საჯარო exploit-ის offset-ებით მიღებული ფუნქციის მისამართი შემდგომ execution payload-ში ჩანს. მან ასევე აღნიშნა, რომ ჯაჭვი ნაჩვენებია განზრახ ხელსაყრელ single-worker mod_php პროფილზე და ეს არ ზომავს exploit-ის საიმედოობას სხვა worker-ების რაოდენობაზე, PHP build-ებსა თუ აპლიკაციებზე.

პატჩები და ვადები

პრობლემები გამოსწორდა PHP-ის 8.5.12, 8.4.27, 8.3.36 და 8.2.35 ვერსიებში (2026 წლის 21 ოქტომბერი). ფედერალურ უწყებებს შესწორებების გატარება 2026 წლის 29 ოქტომბრამდე აქვთ. Censys-ის შეფასებით, 32,51 მილიონზე მეტი PHP სერვისი კვლავ დაუცველ ვერსიაზე მუშაობს. PHP გამოიყენება ინტერნეტის ყველა ვებსაიტის დაახლოებით 70%-ში. სიმძიმის გამო გაფრთხილებები გამოაქვეყნა მრავალმა პროგრამული უზრუნველყოფის, უსაფრთხოებისა და სახელმწიფო ორგანიზაციამ, მათ შორის: ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Dell, Dormakaba, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems და WordPress.

დაკავშირებული პრობლემა Windows-ის ბილდებში

2026 წლის 26 ოქტომბრის მდგომარეობით, PHP Foundation-მა CVE-2026-111497-ის გამო Windows-ის ბილდები 8.5.12-1, 8.4.27-1, 8.3.36-1 და 8.2.35-1 გამოუშვა. ეს არის out-of-bounds write-ის დაუცველობა Brotli-ის დეკოდერის ბიბლიოთეკაში, რომელმაც შეიძლება გამოიწვიოს პრივილეგიების ესკალაცია და აუთენტიფიცირებული RCE. ხარვეზი, აგრეთვე ცნობილი როგორც Broccoli2Shell, HTTP2Shell და Node2Shell, ეხება Brotli-ის 1.0.3-დან 1.0.9-მდე, 1.1.0 და 1.2.0 ვერსიებს. ის გამოსწორდა 1.0.10, 1.1.1 და 1.2.1-ში, ისევე როგორც სხვა პროექტებში, რომლებიც C ბიბლიოთეკას მოიცავს, მათ შორის Node.js, Bun, Envoy Proxy, Istio, .NET და Python. „PHP-ის Windows-ის ბილდებში დაუცველი დეკოდერი ხელმისაწვდომია cURL-ის გაფართოებით, როცა HTTP პასუხის ავტომატური დეკომპრესია ჩართულია“, თქვა PHP Foundation-მა. „cURL-ში ის ნაგულისხმევად გამორთულია, თუმცა აპლიკაციებსა და HTTP კლიენტის ბიბლიოთეკებს შეუძლიათ ჩართონ.“

ადრინდელი მასალა: VulnCheck-მა შექმნა PHP2Shell exploit, რომელიც production სისტემებზე ASLR-ს გვერდს უვლის · PHP მიუთითებს დაუპატჩავი RCE-ის რისკზე ვიწრო გარემოში PHP2Shell-ის სასწრაფო პატჩების შემდეგ

წყაროები: The Hacker News