Կոդի հեռակա կատարման երկու կրիտիկական խոցելիություն հենց PHP-ում, CVSS 9.2։ Ուղղված տարբերակներ, ժամանակավոր պաշտպանություն և ինչպես ստուգել սերվերները։
2026 թ. հոկտեմբերի 21-ին PHP նախագիծը թողարկեց PHP-ի միջուկի երկու կրիտիկական խոցելիությունների ուղղումները, որոնք ստացել են PHP2Shell անվանումը։ Դրանք գտնվում են հենց լեզվի կատարման միջավայրում, ոչ թե CMS-ում կամ փլագինում, ուստի PHP-ով գրված գրեթե յուրաքանչյուր կայք և վեբ հավելված խոցելի է, քանի դեռ չի թարմացվել։ PHP-ի ծանուցումների համաձայն՝ հարձակումը կարող է սկսվել մեկ հատուկ ձևավորված հարցումով՝ դեռ մինչև հավելվածի կոդի կատարումը։
| CVE | Ինչ է | Վտանգավորություն |
|---|---|---|
CVE-2026-109618 | Հիշողության վնասում հիշողության սպառման մշակման ժամանակ (օրինակ՝ multipart վերբեռնումները վերլուծելիս)՝ կոդի հեռակա կատարում | Կրիտիկական, CVSS 4.0՝ 9.2 |
CVE-2026-109619 | Հարցման հնացած վիճակը օգտագործվում է նույն պրոցեսի հաջորդ հարցման կողմից (use-after-free)՝ կոդի հեռակա կատարում | Կրիտիկական, CVSS 4.0՝ 9.2 |
CVE-2026-115560 | Երրորդ խնդիրը, որը CERT-EU-ն հայտարարել է հոկտեմբերի 23-ին․ մանրամասները՝ PHP-ի հաջորդ թողարկման հետ | Կոդի հեռակա կատարում |
PHP թիմը ամենավտանգավոր է համարում mod_php կարգավորումը (PHP-ն Apache-ի ներսում)․ PHP-FPM-ը, LSAPI-ն և FrankenPHP-ն նույնպես համարվում են խոցելի։ CERT-EU-ի տվյալներով՝ համացանցում արդեն սկսել են տարածվել էքսփլոյթներ (proof of concept)։
php -v-ն։PHP-ի և CERT-EU-ի ծանուցումներից այս քայլերը նվազեցնում են ռիսկը, բայց սերվերը չեն դարձնում անվտանգ․
session.upload_progress.enabled=0 php.ini-ում կամ FPM pool-ում (ոչ ini_set()-ով կամ .user.ini-ով) և վերագործարկեք PHP-ի բոլոր պրոցեսները։fatal_error_backtraces=0։post_max_size-ը փոքր (8M, եթե ֆայլերի վերբեռնում պետք չէ) և սահմանափակեք հարցումների չափը և multipart մասերի քանակը վեբ սերվերում կամ պրոքսիում։RLIMIT_AS / RLIMIT_DATA սահմանափակումներ՝ դրանք կարող են ակտիվացնել խոցելի սցենարը։PHP-ն ներկառուցված է բազմաթիվ արտադրանքներում՝ կառավարման վահանակներ, NAS սարքեր, մոնիտորինգի համակարգեր, սարքերի վեբ ինտերֆեյսներ։ Ճշտեք մատակարարներից, արդյոք դրանք խոցելի են, և տեղադրեք թարմացումները։
Նախ՝ թարմացում, հետո՝ պաշտպանության ուժեղացում։ Ժամանակավոր կարգավորումները միայն ժամանակ են շահում։
CySec-ը կստուգի ձեր սերվերները PHP-ի խոցելի տարբերակների համար, կտեղադրի թարմացումները նվազագույն պարապուրդով և կկարգավորի նոր ծանուցումների մոնիտորինգ։
Աղբյուրներ՝ PHP ծանուցում GHSA-w8hw-w9fx-j79w, PHP ծանուցում GHSA-6wmf-4rv5-p3rp, CERT-EU 2026-018։
Էքսփլոյթների նոր շղթան root իրավունքներ է տալիս տեղային N-central սերվերներում, հարձակումները սկսվեցին հրապարակումից մի քանի ժամ անց։ Լիարժեք ուղղում դեռ չկա․ շտապ ստուգումներ։
Կարդալ հոդվածըOutlook-ի շահագործվող խոցելիությունը հատուկ ֆայլի միջոցով փոխանցում է NTLM հեշը։ Այս ամիս Microsoft-ը ուղղել է ավելի քան 1000 խոցելիություն․ ահա առաջնահերթությունները։
Կարդալ հոդվածըGoogle-ը ուղղեց Chrome-ում արդեն շահագործվող use-after-free խոցելիությունը։ Ուղղումն աշխատում է միայն բրաուզերի վերագործարկումից հետո․ ինչպես համոզվել, որ յուրաքանչյուր համակարգիչ պաշտպանված է։
Կարդալ հոդվածըՄեր ինժեներները կուսումնասիրեն ձեր ներկայիս համակարգը և կառաջարկեն կոնկրետ բարելավումներ։