PHP-მ PHP2Shell-ის გადაუდებელი პატჩების შემდეგ ვიწრო კონფიგურაციაში დაუპატჩავ RCE-რისკზე გააფრთხილა

PHP-მ ორი დღის შემდეგ, რაც კრიტიკული PHP2Shell-ის ხარვეზები გადაუდებლად გამოასწორა, კიდევ ერთ დაუპატჩავ RCE-რისკზე გააფრთხილა. CVE-2026-115560 მხოლოდ უჩვეულო კონფიგურაციის ვებაპლიკაციებს ეხება; PHP რისკს ნაკლებად სავარაუდოდ მიიჩნევს და გადაუდებელ პატჩს არ უშვებს.

ახალი გაფრთხილება და შერბილება

23 ოქტომბრის ბიულეტენში PHP გვირჩევს „session upload progress“-ის გამორთვას შემდეგ ჩვეულებრივ გამოშვებამდე: session.upload_progress.enabled=0. ეს იგივე პარამეტრია, რაც 21 ოქტომბრის გაფრთხილებაში CVE-2026-109619-ისთვის იყო მითითებული; ვინც მაშინ გამოიყენა და ძალაში დატოვა, დამატებით არაფერს აკეთებს. ფუნქცია ნაგულისხმევად ჩართულია და ატვირთვის პროგრესს აკონტროლებს.

ვიწრო კონფიგურაცია რისკის ქვეშაა

პრობლემა მხოლოდ მაშინ ჩნდება, თუ session.serialize_handler ჯერ php_binary ან php_serialize-ზეა, მუშაობის დროს ini_set()-ით php-ზე იცვლება session_start()-მდე და „session upload progress“ ჩართულია. თუ handler მუშაობის დროს არ იცვლება, ფუნქცია შეიძლება ჩართული დარჩეს და ამ გზით აპლიკაცია დაუცველი არ არის. PHP ამ კონფიგურაციას იშვიათად მიიჩნევს, ამიტომ გამოსწორებას ჩვეულებრივ ციკლში აკეთებს და CVE-2026-115560-ზე სრულ გაფრთხილებას შემდეგ გამოშვებასთან გამოაქვეყნებს.

PHP-ს არ დაუკონკრეტებია დაზარალებული ვერსიები, გამოსწორების გამოშვებები და სიმძიმის ქულა; უცნობია, საერთო ძირეული მიზეზი აქვს თუ არა CVE-2026-109619-თან. CVE-2026-115560-ის ექსპლუატაცია არ დაფიქსირებულა.

ადრინდელი PHP2Shell-ის ხარვეზები და შეტევები

21 ოქტომბრის გადაუდებელმა გამოშვებამ ორი კრიტიკული PHP2Shell-ის ხარვეზი გამოასწორა: CVE-2026-109618 და CVE-2026-109619. ისინი ანგარიშის გარეშე კოდის გაშვების საშუალებას იძლეოდა; გამოსწორება მოხდა PHP 8.5.12, 8.4.27, 8.3.36 და 8.2.35-ში. ახალი პრობლემა ცალკეა და ამ გამოშვებებით არ გამოსწორებულა.

21 ოქტომბრის შემდეგ შეტევები ამ ორ ხარვეზს მიემართება და ექსპლუატაციის მცდელობები გაიზარდა. Amazon-ის honeypot-ებმა 17 ოქტომბერს, გამჟღავნებამდე ოთხი დღით ადრე, CVE-2026-109618 და CVE-2026-109619 ხარვეზებზე მცდელობა დააფიქსირეს. Cloudflare-ის თქმით, 21 ოქტომბრის გამჟღავნებიდან 45 წუთში მცდელობები ათიათასობითიდან 22 ოქტომბრის დასაწყისისთვის მილიონებამდე გაიზარდა.

Sophos-ისა და Arctic Wolf-ის თქმით, ხარვეზებით Mirai ბოტნეტის ვარიანტის დაყენების მცდელობები ჯერჯერობით უშედეგოა: Previdian, Wordfence და სხვები სკანირებასა და გამოკვლევაზე იუწყებიან, დადასტურებული კოდის შესრულება არ არის, საიმედო ექსპლოიტი კი მოსალოდნელზე რთულია. ეს აქტივობა 21 ოქტომბერს გამოსწორებულ ხარვეზებს ეხება და არა CVE-2026-115560-ს, რომელზეც შეტევა არ დაფიქსირებულა.

ადრე გამოქვეყნებული: PHP2Shell-ის პატჩები: რა რისკია და როგორ დავიცვათ PHP საიტები · VulnCheck-ის PHP2Shell ექსპლოიტი პროდუქციულ სისტემებზე ASLR-ს გვერდს უვლის

წყაროები: The Hacker News · PHP · CERT-EU