PHP-udviklere annoncerede, at der i dag kl. 17:00 (MSK) vil blive offentliggjort nødsituationer med reparationer (8.5.12, 8.4.27, 8.3.36 og 8.2.35), der vil udbedre to kritiske sårbarheder. Alle serveradministratorer med PHP anbefales at installere reparationerne på deres systemer straks efter udgivelsen. Det officielle indhold vil først blive afsløret, når reparationerne er tilgængelige, men ifølge oplysninger, der allerede er tilgængelige, drejer det sig om sårbarhederne CVE-2026-109618 og CVE-2026-109619, som potentielt kan tillade fjernudførelse af vilkårlig kode på enhver webserver, der kører PHP-scripts i standardkonfiguration. Problemerne optræder i alle versioner, der starter fra PHP 5.4.
Prototype exploits (1, 2) til at teste systemets sårbarhed er allerede tilgængelige på nettet. I bemærkningen til exploit hævdes det, at sårbarhederne skyldes adgang til allerede frigivet hukommelse i håndteringen af upload-progression af filer på server (session.upload_progress). Det kræves ikke, at der er en funktionalitet til filupload på hjemmesiden for at udføre angrebet; det er tilstrækkeligt med automatisk udløsning i PHP-fortolkerens indholdshåndterer "multipart/form-data". For succesfuldt udnyttelse kræves der fastlæggelse af layoutet af strukturer i hukommelsen for processen, som er specifikt for hver distribution (problemet løses ved at søge i exploit for offsets, der er beregnet på forhånd for pakker fra forskellige distributioner).
Som en beskyttelsesomgåelse findes der anbefalinger om at sætte parameteren "session.upload_progress.enabled = off" i php.ini (eller "php_admin_flag[session.upload_progress.enabled] = off" i PHP-FPM), men en repræsentant for PHP-projektet samt skaberen af den første prototype exploit hævder, at dette ikke er tilstrækkeligt til at blokere begge sårbarheder. I bemærkningen til den anden prototype exploit nævnes det, at udover den førnævnte indstilling i php.ini kræver det fuld blokering af anmodninger med indholdstypen "multipart/form-data" for at forhindre angreb uden anvendelse af en patch, hvilket vil føre til, at upload af filer gennem webformularer ikke vil være muligt.
I Apache httpd kan følgende regel i mod_rewrite bruges til at blokere multipart-anmodninger:
RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ — [F,L]
For blokering i nginx:
if ($http_content_type ~* "multipart") {
return 403;
}
For blokering i Caddy:
@multipart header_regexp Content-Type (?i)multipart
respond @multipart 403
Tillæg: Udgivet korrigerende versioner af PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 samt detaljer om de rettede kritiske sårbarheder. Gennemgang af sårbarhederne og de officielt anbefalede beskyttelsesmetoder er offentliggjort i en separat nyhed.
Kilde: opennet.ru
