PHP-ში არსებულმა დაუცველობამ შესაძლოა ნებისმიერი PHP ვებსაიტი საფრთხეში ჩააგდოს.

PHP-ის დეველოპერებმა დღეს, საღამოს 17:00 საათზე (MSK) გამოაცხადეს საგანგებო პატჩების (8.5.12, 8.4.27, 8.3.36 და 8.2.35) გამოშვების შესახებ, რომლებიც ორ კრიტიკულ დაუცველობას მოაგვარებს. PHP სერვერის ყველა ადმინისტრატორს ურჩევენ, რომ პატჩები გამოშვებისთანავე დააინსტალირონ თავიანთ სისტემებზე. ოფიციალური დეტალები მხოლოდ მაშინ გახდება ცნობილი, როდესაც პატჩები ხელმისაწვდომი გახდება, მაგრამ საჯაროდ ხელმისაწვდომი ინფორმაციის საფუძველზე, ეს დაუცველობებია CVE-2026-109618 და CVE-2026-109619, რომლებიც პოტენციურად საშუალებას იძლევა დისტანციურად შესრულდეს კოდი ნებისმიერ ვებ სერვერზე, რომელიც PHP სკრიპტებს ნაგულისხმევ კონფიგურაციაში ამუშავებს. პრობლემები გავლენას ახდენს PHP 5.4-დან დაწყებული ყველა ვერსიაზე.

პროტოტიპული ექსპლოიტები (1, 2) უკვე გამოჩნდა ონლაინში სისტემის დაუცველობის შესამოწმებლად. ექსპლოიტის შენიშვნებში ნათქვამია, რომ დაუცველობები გამოწვეულია ფაილის ჩამოტვირთვის პროგრესის თვალთვალის დამმუშავებელში უკვე გამოთავისუფლებულ მეხსიერებაზე წვდომით. სერვერზე (session.upload_progress). შეტევა არ საჭიროებს საიტზე ფაილის ატვირთვის ფუნქციონალს; PHP ინტერპრეტატორში საკმარისია „multipart/form-data“ კონტენტის დამმუშავებლის ავტომატური გააქტიურება. წარმატებული ექსპლუატაცია მოითხოვს პროცესის მეხსიერების განლაგების განსაზღვრას, რომელიც სპეციფიკურია თითოეული ბილდისთვის (ეს პრობლემა შეიძლება გადაწყდეს ექსპლოიტის უხეში იძულებით გამოყენებით, სხვადასხვა დისტრიბუციიდან პაკეტებისთვის წინასწარ გამოთვლილი ოფსეტების გამოყენებით).

შემოვლითი გზის სახით, ზოგიერთი გვირჩევს PHP-FPM-ში php.ini პარამეტრის „session.upload_progress.enabled = off“ (ან „php_admin_flag[session.upload_progress.enabled] = off“) დაყენებას, თუმცა PHP პროექტის წარმომადგენელი, ასევე პირველი ექსპლოიტის პროტოტიპის ავტორი, ამტკიცებს, რომ ეს ორივე დაუცველობის დაბლოკვისთვის საკმარისი არ არის. მეორე ექსპლოიტის პროტოტიპის შენიშვნაში ნათქვამია, რომ ზემოხსენებული php.ini პარამეტრის გარდა, შეტევის თავიდან ასაცილებლად პატჩის გამოყენების გარეშე საჭიროა „multipart/form-data“ კონტენტის ტიპის მოთხოვნების სრული დაბლოკვა.

Apache httpd-ში, mod_rewrite-ში შემდეგი წესის გამოყენება შესაძლებელია მრავალნაწილიანი მოთხოვნების დასაბლოკად:

RewriteCond %{HTTP:Content-Type} მრავალნაწილიანი [NC]
RewriteRule ^ — [F,L]

Nginx-ში დაბლოკვისთვის:

თუ ($http_content_type ~* "მრავალნაწილიანი") {
403 დაბრუნებაზე;
}

Caddy-ს დასაბლოკად:

@multipart header_regexp კონტენტის ტიპი (?i)multipart
პასუხი @multipart 403

განახლება: გამოვიდა PHP 8.5.12, 8.4.27, 8.3.36 და 8.2.35 ვერსიების პატჩები, ასევე გამოსწორებული კრიტიკული დაუცველობების დეტალები. დაუცველობების დეტალური ანალიზი და ოფიციალურად რეკომენდებული შემოვლითი გზები ცალკე სიახლეშია ხელმისაწვდომი.

წყარო: opennet.ru