PHP планує екстрений випуск безпеки для двох критичних вразливостей RCE

Заплановано екстрений випуск

PHP випустить позачерговий випуск безпеки о 14:00 UTC 21 жовтня 2026 року для двох критичних вразливостей, які її команда безпеки оцінила на 9.2 за шкалою CVSS v4.0. За даними дослідників із watchTowr, ці недоліки дозволяють віддалено виконувати код. Поки що не повідомлялося про експлуатацію. Виправлення зможуть отримати лише чотири підтримувані гілки PHP: 8.2, 8.3, 8.4 і 8.5. PHP може випустити оновлення раніше, якщо деталі стануть публічними або з'являться докази активної експлуатації.

Витік призвів до дострокового повідомлення

20 жовтня допис у Hacker News стверджував, що два недоліки віддаленого виконання коду в PHP з оцінкою CVSS 10.0, які стосуються версій від PHP 5 і новіших, будуть розкриті 22 жовтня. Автор не надав жодних перевірених доказів. Пізніше watchTowr підтвердив, що розголошена інформація справжня і що недоліки перебували під ембарго. PHP опублікувала дострокове повідомлення 20 жовтня о 19:33 UTC, перенісши випуск на 21 жовтня, на день раніше за дату, яка потрапила до витоку. Витік включав два ідентифікатори CVE: CVE-2026-109618 і CVE-2026-109619, але повідомлення PHP не називає жодного з них. Твердження, що вразливою є кожна версія, починаючи з PHP 5, залишається непідтвердженим офіційною рекомендацією.

Підтримувані гілки та очікувані версії

PHP випускає виправлення лише для чотирьох підтримуваних гілок. Версії 8.2 та 8.3 отримують лише виправлення безпеки до 31 грудня 2026 року та 31 грудня 2027 року відповідно. Версії 8.4 та 8.5 перебувають в активній підтримці до 31 грудня 2026 року та 31 грудня 2027 року відповідно. Трекери, зокрема Alpine Linux, і дослідник безпеки Kevin Beaumont очікують, що виправлення вийдуть як PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35, хоча PHP не підтвердила ці номери. Гілки старіші за 8.2, включаючи 8.1, 8.0, 7.x та 5.x, вийшли з обслуговування і не отримають виправлень від розробника.

Рекомендації для адміністраторів щодо пом'якшення наслідків

PHP не опублікувала жодного обхідного рішення. Адміністраторам слід провести інвентаризацію кожної установки PHP, включаючи ті, що входять до складу пристроїв постачальників, програмного забезпечення Windows та панелей керування, таких як cPanel і Plesk. Будьте готові оновитися о 14:00 UTC. Спочатку виправте системи, доступні з інтернету, і перевірте дистрибутиви Linux та хостинг-провайдерів на наявність бекпортованих пакетів. На гілках, що вийшли з обслуговування, оновіть систему, вимкніть її від інтернету або розмістіть за VPN або брандмауером веб-додатків. CERT-EU радить ізолювати програми, доступні з інтернету, від публічних мереж, поки не з'явиться виправлення. Стежте за тим, чи php-fpm, php-cgi, httpd або apache2 запускають оболонки, інтерпретатори чи інструменти завантаження. process-watcher від Florian Roth реєструє кожну програму, яку запускає процес PHP, але нічого не заважає. Якщо виявлено підозрілу активність, ізолюйте сервер, збережіть журнали та шукайте веб-шели, нові файли в кореневому каталозі веб-сайту, нові завдання cron, заплановані завдання та облікові записи. Станом на 21 жовтня не повідомлялося про експлуатацію, і ці недоліки не входять до каталогу CISA Known Exploited Vulnerabilities.

Джерела: The Hacker News · Ars Technica · Php.Net