PHP մշակողները այսօր՝ ժամը 17:00-ին (MSK), հայտարարեցին արտակարգ թարմացումների (8.5.12, 8.4.27, 8.3.36 և 8.2.35) թողարկման մասին, որոնք կլուծեն երկու կարևորագույն խոցելիություններ: Բոլոր PHP սերվերների ադմինիստրատորներին խորհուրդ է տրվում թարմացումները տեղադրել իրենց համակարգերի վրա թողարկումից անմիջապես հետո: Պաշտոնական մանրամասները կհրապարակվեն միայն թարմացումների հասանելիության դեպքում, սակայն հրապարակային տեղեկատվության հիման վրա այս խոցելիություններն են CVE-2026-109618 և CVE-2026-109619, որոնք պոտենցիալ թույլ են տալիս հեռակա կոդի կատարում ցանկացած վեբ սերվերի վրա, որը գործարկում է PHP սկրիպտներ լռելյայն կարգավորումներով: Խնդիրները ազդում են PHP 5.4-ից սկսած բոլոր տարբերակների վրա:
Համակարգի խոցելիությունը ստուգելու համար արդեն իսկ առցանց հայտնվել են նախատիպային շահագործումներ (1, 2): Շահագործման նշումներում նշվում է, որ խոցելիությունները առաջանում են ֆայլերի ներբեռնման առաջընթացի հետևման մշակիչում արդեն ազատված հիշողությանը մուտք գործելու հետևանքով: սերվեր (session.upload_progress): Հարձակումը չի պահանջում կայքում ֆայլերի բեռնման ֆունկցիոնալություն. PHP մեկնաբանիչում «multipart/form-data» բովանդակության մշակիչի ավտոմատ ակտիվացումը բավարար է: Հաջող շահագործումը պահանջում է որոշել պրոցեսի հիշողության դասավորությունը, որը բնորոշ է յուրաքանչյուր կառուցվածքին (այս խնդիրը կարող է լուծվել շահագործումը կոպիտ կերպով պարտադրելով՝ օգտագործելով տարբեր բաշխումներից փաթեթների համար նախապես հաշվարկված շեղումները):
Որպես շրջանցիկ լուծում, որոշները խորհուրդ են տալիս PHP-FPM-ում php.ini պարամետրը սահմանել "session.upload_progress.enabled = off" (կամ "php_admin_flag[session.upload_progress.enabled] = off"), սակայն PHP նախագծի ներկայացուցիչը, ինչպես նաև առաջին շահագործման նախատիպի հեղինակը, պնդում են, որ սա բավարար չէ երկու խոցելիությունները արգելափակելու համար: Երկրորդ շահագործման նախատիպի նշումում նշվում է, որ վերոնշյալ php.ini կարգավորումից բացի, հարձակումը կանխելու համար անհրաժեշտ է լիովին արգելափակել "multipart/form-data" բովանդակության տեսակով հարցումները՝ առանց թարմացումը կիրառելու:
Apache httpd-ում mod_rewrite-ի հետևյալ կանոնը կարող է օգտագործվել բազմամաս հարցումները արգելափակելու համար.
RewriteCond %{HTTP:Content-Type} բազմամաս [NC]
RewriteRule ^ — [F,L]
Nginx-ում արգելափակելու համար՝
եթե ($http_content_type ~* "բազմամասն") {
403 վերադառնալու;
}
Caddy-ն կողպելու համար՝
@multipart header_regexp Բովանդակության տեսակ (?i)multipart
պատասխանել @multipart 403-ին
Թարմացում. PHP 8.5.12, 8.4.27, 8.3.36 և 8.2.35 թարմացումները թողարկվել են, ինչպես նաև շտկված կարևորագույն խոցելիությունների մանրամասները: Խոցելիությունների մանրամասն վերլուծությունը և պաշտոնապես առաջարկվող շրջանցիկ լուծումները հասանելի են առանձին նորություններում:
Source: opennet.ru
