PHP выпустит внеплановый бюллетень безопасности сегодня, 21 октября, в 14:00 UTC, для устранения двух критических уязвимостей, которым команда безопасности PHP присвоила рейтинг 9,2 по шкале CVSS v4.0, но детали которых не раскрыла. Исследователи безопасности из watchTowr заявляют, что эти две уязвимости позволяют удаленно выполнять код. Исправление получат только четыре поддерживаемые ветки PHP: с 8.2 по 8.5. Об эксплуатации уязвимостей пока не сообщалось.
Предварительное уведомление последовало за утечкой информации. 20 октября в сообщении на HN говорилось, что две уязвимости PHP, позволяющие удаленно выполнять код, с рейтингом CVSS 10.0 и затрагивающие версии начиная с PHP 5, будут раскрыты в четверг, 22 октября. Автор сообщения заявил, что у него нет «никаких доказательств, кроме «источник: доверяй мне, бро»».
Затем watchTowr опубликовал сообщение в X, подтвердив подлинность утечки информации, заявив, что две уязвимости находятся под эмбарго, что все должны были ждать до четверга, и что на данный момент они не могут предоставить больше деталей.
PHP опубликовал свое уведомление вечером того же дня, в 19:33 UTC, с выпуском, запланированным на среду, за день до даты, указанной watchTowr. В уведомлении говорится, что PHP может выпустить исправление раньше, «если детали любой из уязвимостей станут общедоступными или если появятся свидетельства активной эксплуатации».
Утечка содержала информацию о наличии уязвимостей, их рейтинге, дате и двух идентификаторах CVE, но не о том, как они работают. Цифра CVSS 10.0 взята из утечки. Рейтинг PHP составляет 9,2 по версии 4.0 шкалы.
Идентификаторы, используемые исследователями, CVE-2026-109618 и CVE-2026-109619, также были указаны в опубликованном сообщении. В уведомлении PHP не упоминаются ни те, ни другие. Утверждение о том, что затронуты все версии начиная с PHP 5, также не подтверждено: в собственном FAQ watchTowr по уязвимостям говорится, что охват «не был подтвержден официальным уведомлением поставщика», и что не описано никаких требований к конфигурации или функциям.
PHP заявляет: «Полные детали, затронутые версии и исправленные версии будут опубликованы вместе с выпуском». Исследователи начали называть эту пару php2shell. Это их название, а не название PHP.
Независимо от того, какой окажется затронутая область, PHP выпускает исправления только для своих четырех поддерживаемых веток, и записывает изменения каждой ветки в свой журнал изменений. Версии 8.2 и 8.3 получают только исправления безопасности, а 8.4 и 8.5 находятся на активной поддержке.
Все, что старше, включая 8.1, 8.0, 7.x и 5.x, достигло конца жизненного цикла и не получает исправлений от PHP. Если уязвимости затронут эти ветки, установки на них не получат патча от поставщика.
Компания безопасности Mallory подсчитала, что 20 октября около 884 000 интернет-серверов, чьи HTTP-баннеры сообщали версию PHP 8.1 или старше, были обнаружены поисковой системой Shodan. Это составляет 59% от примерно 1,5 миллиона серверов, сообщивших любую версию. Подсчет охватывает баннеры, а не подтвержденные затронутые системы, и еще 740 000 серверов сообщили о PHP без указания версии.
PHP не предоставил обходных путей. До выхода исправления подготовка сводится к шести шагам, большинство из которых взяты из сообщения о быстром реагировании от Huntress, с добавлением рекомендаций CERT-EU по изоляции.
Huntress заявила, что по состоянию на 20 октября не видела эксплуатации уязвимостей в средах своих партнеров, не создавала и не воспроизводила proof of concept и не осведомлена об общедоступном коде эксплойта. FAQ watchTowr указывает на отсутствие сообщений об эксплуатации по состоянию на 21 октября, а уязвимости не включены в каталог CISA «Известные уязвимости, подвергшиеся эксплуатации».
Для сравнения, когда CVE-2024-4577, уязвимость PHP в режиме CGI на Windows, стала общедоступной в июне 2024 года, Akamai зафиксировала попытки эксплуатации против своих honeypot-серверов в течение 24 часов.
Выпуск должен прояснить то, что осталось неясным в уведомлении: какие версии затронуты, какая часть PHP задействована, требуется ли для атаки определенный способ запуска PHP, конфигурация или вход в систему, и как сам PHP описывает уязвимости. На момент написания PHP не выпустил исправления.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
