PHP ორი კრიტიკული RCE ხარვეზისთვის რიგგარეშე უსაფრთხოების განახლებას გეგმავს

რიგგარეშე გამოშვება დაგეგმილია

PHP-მ 2026 წლის 21 ოქტომბერს, 14:00 UTC-ზე, ორი კრიტიკული ხარვეზისთვის რიგგარეშე უსაფრთხოების განახლება უნდა გამოუშვას. უსაფრთხოების გუნდმა მათ CVSS v4.0-ის სკალით 9,2 ქულა მისცა. watchTowr-ის მკვლევრების თანახმად, ხარვეზები დისტანციური კოდის შესრულების საშუალებას იძლევა. ექსპლუატაციის შემთხვევები ჯერ არ დაფიქსირებულა. გამოსწორებას მხოლოდ მხარდაჭერილი განშტოებები 8.2-დან 8.5-მდე მიიღებენ. დეტალების საჯარო გახდომის ან აქტიური ექსპლუატაციის მტკიცებულების გამოჩენისას PHP-მ შესაძლოა უფრო ადრე გამოუშვას განახლება.

გაჟონვამ ადრეული გაფრთხილება გამოიწვია

20 ოქტომბერს Hacker News-ზე გამოქვეყნებული პოსტის ავტორი ამტკიცებდა, რომ 22 ოქტომბერს გამჟღავნდებოდა PHP-ის დისტანციური კოდის შესრულების ორი ხარვეზი CVSS-ის 10,0 ქულით, რომლებიც PHP 5-დან მოყოლილ ვერსიებს ეხებოდა. გადამოწმებადი მტკიცებულება არ წარმოუდგენია. watchTowr-მა დაადასტურა, რომ ინფორმაცია ნამდვილი იყო და ხარვეზები ემბარგოს ქვეშ იმყოფებოდა. PHP-მა წინასწარი შეტყობინება 20 ოქტომბერს, 19:33 UTC-ზე გამოაქვეყნა და გამოშვება 21 ოქტომბერს გადაიტანა, გაჟონილ თარიღამდე ერთი დღით ადრე. გაჟონვაში მითითებული იყო CVE-2026-109618 და CVE-2026-109619, მაგრამ PHP-ის შეტყობინებაში არც ერთი არ დასახელებულა. მტკიცება, რომ PHP 5-დან მოყოლილი ყველა ვერსია დაუცველია, ოფიციალური გაფრთხილებით ჯერ არ დადასტურებულა.

მხარდაჭერილი განშტოებები და მოსალოდნელი ვერსიები

PHP გამოსწორებებს მხოლოდ ოთხი მხარდაჭერილი განშტოებისთვის უშვებს. 8.2 და 8.3 მხოლოდ უსაფრთხოების გამოსწორებებს მიიღებენ 2026 წლის 31 დეკემბრამდე და 2027 წლის 31 დეკემბრამდე შესაბამისად, ხოლო 8.4 და 8.5 აქტიურ მხარდაჭერაშია 2026 წლის 31 დეკემბრამდე და 2027 წლის 31 დეკემბრამდე შესაბამისად. ტრეკერები, მათ შორის Alpine Linux და Kevin Beaumont, ელიან, რომ გამოსწორებები გამოვა როგორც PHP 8.5.12, 8.4.27, 8.3.36 და 8.2.35, თუმცა PHP-მ ეს ნომრები ჯერ არ დაადასტურა. 8.2-ზე ძველი განშტოებები, მათ შორის 8.1, 8.0, 7.x და 5.x, მხარდაჭერის ვადის გარეთ არიან და მწარმოებლისგან პატჩს არ მიიღებენ.

რისკის შემცირების რეკომენდაციები ადმინისტრატორებისთვის

PHP-მ დროებითი გადაწყვეტა არ გამოაქვეყნა. ადმინისტრატორებმა უნდა შეადგინონ ყველა PHP-ის ინსტალაციის ჩამონათვალი, მათ შორის მწარმოებლის მოწყობილობებში, Windows-ის პროგრამულ უზრუნველყოფაში და cPanel-ისა და Plesk-ის მსგავს პანელებში ჩაშენებული ინსტალაციებისა. მოემზადეთ 14:00 UTC-ზე განახლებისთვის. პირველ რიგში განაახლეთ ინტერნეტზე მისაწვდომი სისტემები და შეამოწმეთ backport-ირებული პაკეტები Linux-ის დისტრიბუტივებსა და ჰოსტინგის პროვაიდერებში. მხარდაჭერის ვადის ამოწურულ განშტოებებზე ან განაახლეთ სისტემა, ან გათიშეთ ინტერნეტისგან, ან VPN-ის ან ვებ-აპლიკაციის ფაირვოლის უკან მოათავსეთ. CERT-EU-მ გვირჩევს, ინტერნეტზე მისაწვდომი აპლიკაციები საჯარო ქსელებისგან იზოლირებული იყოს გამოსწორების გამოქვეყნებამდე. თვალი ადევნეთ, ხომ არ იწყებს php-fpm, php-cgi, httpd ან apache2 shell-ების, ინტერპრეტატორების ან ჩამოტვირთვის ხელსაწყოების გაშვებას. Florian Roth-ის process-watcher-ი აღრიცხავს ყველა პროგრამას, რომელსაც PHP-ის პროცესი იწყებს, მაგრამ არაფერს უშლის ხელს. საეჭვო აქტივობის აღმოჩენისას სერვერი იზოლირეთ, შეინახეთ ლოგები და მოძებნეთ web shell-ები, ახალი ფაილები ვებ-ძირში, ახალი cron-ის ამოცანები, დაგეგმილი ამოცანები და ანგარიშები. 21 ოქტომბრის მდგომარეობით, ექსპლუატაციის არც ერთი შემთხვევა არ დაფიქსირებულა და ხარვეზები არ არის CISA-ს Known Exploited Vulnerabilities კატალოგში.

წყაროები: The Hacker News · Ars Technica · Php.Net