ИИ нашел огромную дыру в PHP.
ИИ нашел огромную дыру в PHP. Команда PHP выпустила патч для критических уязвимостей в ядре языка. Их нашли исследователи Wiz Research с помощью frontier-моделей ИИ. На PHP работает примерно на 70% сайтов в мире. Уязвимости объединили в два CVE: CVE-2026-109618 и CVE-2026-109619. Максимальная оценка по шкале CVSS – 9,2. Затронуты все версии за десять лет, начиная с PHP 5.4. Суть в том, что PHP неверно обрабатывает фатальные ошибки, прежде всего нехватку памяти. После аварийного завершения запроса в памяти остается битое состояние. Следующий запрос или воркер использует его, и память утекает или портится. В первом CVE это use-after-free в десериализаторе прогресса загрузки файлов. Во втором – use-after-free в трассировке фатальной ошибки и путаница типов в OPcache. Без авторизации атакующий может считывать пароли, токены, API-ключи, сертификаты и т.п. Для бизнеса это прямые траты: перевыпуск ключей и сертификатов, простой сайта, разбор инцидента. Другой вариант – исполнение кода на сервере. Исследователи собрали эксплойт php2shell. Он без авторизации дал удаленное выполнение кода на свежих контейнерах wordpress:latest, drupal:latest и joomla:latest. Уязвимы все PHP-установки, обслуживающие веб-запросы: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Команда PHP считает риск максимальным для mod_php.bleepingcomputer. ▪️ Команда PHP говорит, что надо обновиться: Обновитесь до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Исходный код можно скачать на странице загрузок. Исходники и бинарные сборки для Windows лежат на той же странице. Разработчики Linux-дистрибутивов и поставщики LTS-поддержки получили патчи заранее. Проверьте обновленные пакеты у своего поставщика. Проект PHP больше не выпускает обновления для PHP 8.1 и старше. Некоторые дистрибутивы и LTS-поставщики переносят исправления в старые версии самостоятельно. Подробности уточните у своего поставщика или перейдите на поддерживаемую версию. Из-за серьезности уязвимостей команда безопасности PHP подготовила минимальные бэкпорты исходного кода для PHP 7.4, PHP 8.0 и PHP 8.1. Они помогут тем, кто собирает PHP из исходников или не имеет доступа к LTS-поставщику. Подписывайтесь на Телекоммуналку
Канал в каталоге Максиметера
10 966 подписчиков · IT и технологии