Ranjivost u PHP-u koja potencijalno može kompromitovati svaku PHP stranicu.

PHP programeri su najavili objavu hitnih ispravki (8.5.12, 8.4.27, 8.3.36 i 8.2.35) danas u 17:00 (MSK), koje će ispraviti dvije kritične ranjivosti. Sve administratore servera sa PHP-om se savjetuje da odmah postave ažuriranja na svojim sustavima čim budu dostupna. Službene pojedinosti bit će otkrivene tek nakon objave ispravki, ali prema dostupnim informacijama, riječ je o ranjivostima CVE-2026-109618 i CVE-2026-109619, koje potencijalno omogućuju udaljeno izvršavanje vlastitog koda na svakom web serveru koji pokreće PHP skripte s konfiguracijom prema zadanim postavkama. Problemi se pojavljuju u svim verzijama od PHP 5.4.

Na mreži su već dostupni prototipovi eksploitacija (1, 2) za provjeru podložnosti sustava toj ranjivosti. U napomeni uz eksploit se tvrdi da su ranjivosti uzrokovane pristupom već oslobođenoj memoriji u upravitelju napretka učitavanja datoteka na server (session.upload_progress). Nije potrebno imati funkcionalnost za učitavanje datoteka na web stranici za izvršenje napada, dovoljno je automatsko pokretanje u PHP interpretatoru upravitelja sadržaja «multipart/form-data». Za uspješnu eksploataciju potrebno je odrediti raspored struktura u memoriji procesa, koja je specifična za svaku gradnju (problem se rješava pretraživanjem u eksploitacijskom pomaku, unaprijed izračunatim za pakete iz različitih distribucija).

Kao zaobilazno rješenje zaštite ixpominju se preporuke za postavljanje parametra u php.ini «session.upload_progress.enabled = off» (ili «php_admin_flag[session.upload_progress.enabled] = off» u PHP-FPM), ali predstavnik PHP projekta i autor prvog prototipa eksploitacije tvrde da to nije dovoljno za blokiranje obje ranjivosti. U napomeni drugog prototipa eksploitacije se spominje da, osim ranije spomenute postavke u php.ini, za sprječavanje napada bez korištenja zakrpe potrebna je potpuna blokada zahtjeva s tipom sadržaja «multipart/form-data», što će onemogućiti učitavanje datoteka putem web obrazaca.

U Apache httpd za blokiranje multipart zahtjeva može se koristiti sljedeće pravilo u mod_rewrite:

RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ — [F,L]

Za blokiranje u nginx:

if ($http_content_type ~* «multipart») {
return 403;
}

Za blokiranje u Caddy:

@multipart header_regexp Content-Type (?i)multipart
respond @multipart 403

Dopuna: Objavljene su ispravke za PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, kao i detalji o ispravljenim kritičnim ranjivostima. Analiza ranjivosti i službeno preporučene obrane objavljena je u zasebnoj vijesti.

Izvor: opennet.ru