Уязвимость компонента session.upload_progress ядра интерпретатора языка программировани...
Уязвимость компонента session.upload_progress ядра интерпретатора языка программирования PHP связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного POST-запроса BDU:2026-17192 CVE-2026-109619 Использование рекомендаций: https://cert.europa.eu/publications/security-advisories/2026-018 https://github.com/php/php-src/releases#release-php-8.2.35 https://github.com/php/php-src/releases#release-php-8.3.36 https://github.com/php/php-src/releases#release-php-8.4.27 https://github.com/php/php-src/releases#release-php-8.5.12 Для программных продуктов Palo Alto Networks Inc.: https://security.paloaltonetworks.com/CVE-2026-109619 Компенсирующие меры: - для PHP 8.5 отключить формирование трассировок фатальных ошибок: fatal_error_backtraces = 0; - исключить некорректные и устаревшие параметры конфигурации PHP, вызывающие диагностические сообщения перед инициализацией запроса; - установить pm.max_requests = 1 для менеджера процессов PHP-FPM, учитывая влияние на производительность; - отключение функции отслеживания прогресса загрузки файлов путем установления значения «Off» параметра session.upload_progress.enabled в конфигурационном файле php.ini; - использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика; - ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа из внешних сетей (Интернет).
Канал в каталоге Максиметера
1 617 подписчиков · IT и технологии