PHP ရှိ အားနည်းချက်တစ်ခုသည် မည်သည့် PHP ဝဘ်ဆိုက်ကိုမဆို ထိခိုက်နိုင်သည်။

PHP developer များသည် ယနေ့ ညနေ ၅:၀၀ နာရီ (MSK) တွင် အရေးကြီးသော အားနည်းချက်နှစ်ခုကို ဖြေရှင်းပေးမည့် အရေးပေါ် patch များ (၈.၅.၁၂၊ ၈.၄.၂၇၊ ၈.၃.၃၆ နှင့် ၈.၂.၃၅) ကို ထုတ်ပြန်လိုက်ကြောင်း ကြေညာခဲ့သည်။ PHP server administrator အားလုံးသည် patch များကို ထုတ်ပြန်ပြီးသည်နှင့် ၎င်းတို့၏ စနစ်များတွင် ချက်ချင်းထည့်သွင်းရန် အကြံပြုထားသည်။ patch များ ရရှိနိုင်ပြီးမှသာ တရားဝင်အသေးစိတ်အချက်အလက်များကို ထုတ်ဖော်ပြောကြားမည်ဖြစ်သော်လည်း အများပြည်သူရရှိနိုင်သော အချက်အလက်များအပေါ် အခြေခံ၍ ဤအားနည်းချက်များမှာ CVE-2026-109618 နှင့် CVE-2026-109619 ဖြစ်ပြီး ၎င်းတို့သည် default configuration တွင် PHP script များကို run နေသော မည်သည့် web server တွင်မဆို remote code execution ကို ခွင့်ပြုနိုင်သည်။ ဤပြဿနာများသည် PHP 5.4 မှစတင်သော ဗားရှင်းအားလုံးကို သက်ရောက်မှုရှိသည်။

စနစ်အားနည်းချက်ကို စမ်းသပ်ရန် Prototype exploits (1, 2) များသည် အွန်လိုင်းတွင် ပေါ်လာပြီးဖြစ်သည်။ exploit ၏ မှတ်စုများတွင် အားနည်းချက်များသည် ဖိုင်ဒေါင်းလုဒ်တိုးတက်မှုခြေရာခံကိရိယာတွင် လွတ်မြောက်ပြီးသား မှတ်ဉာဏ်ကို ဝင်ရောက်ခြင်းကြောင့် ဖြစ်ပေါ်လာသည်ဟု ဆိုထားသည်။ ဆာဗာ (session.upload_progress). တိုက်ခိုက်မှုအတွက် ဆိုက်ပေါ်တွင် ဖိုင်တင်ခြင်းလုပ်ဆောင်ချက် မလိုအပ်ပါ။ PHP interpreter ရှိ "multipart/form-data" content handler ကို အလိုအလျောက် အသက်သွင်းခြင်းသည် လုံလောက်ပါသည်။ အောင်မြင်သော exploitation တွင် build တစ်ခုချင်းစီအတွက် သီးသန့်ဖြစ်သော process memory layout ကို ဆုံးဖြတ်ရန် လိုအပ်ပါသည် (ဤပြဿနာကို မတူညီသော distribution များမှ package များအတွက် ကြိုတင်တွက်ချက်ထားသော offsets များကို အသုံးပြု၍ exploit ကို brute-forcing ဖြင့် ဖြေရှင်းနိုင်ပါသည်)။

ဖြေရှင်းနည်းတစ်ခုအနေနဲ့ php.ini parameter "session.upload_progress.enabled = off" (သို့မဟုတ် PHP-FPM တွင် "php_admin_flag[session.upload_progress.enabled] = off") ကို သတ်မှတ်ဖို့ တချို့က အကြံပြုထားပေမယ့် PHP project ကိုယ်စားလှယ်တစ်ဦးဖြစ်သလို ပထမဆုံး exploit prototype ရဲ့ ရေးသားသူလည်းဖြစ်တဲ့သူက ဒါဟာ vulnerability နှစ်ခုလုံးကို ပိတ်ဆို့ဖို့ မလုံလောက်ဘူးလို့ ဆိုပါတယ်။ ဒုတိယ exploit prototype အတွက် မှတ်စုမှာ အထက်ဖော်ပြပါ php.ini setting အပြင် patch ကို မသုံးဘဲ တိုက်ခိုက်မှုကို ကာကွယ်ဖို့ "multipart/form-data" content type ပါတဲ့ request တွေကို လုံးဝပိတ်ဆို့ဖို့ လိုအပ်တယ်လို့ ဖော်ပြထားပါတယ်။

Apache httpd မှာ mod_rewrite မှာ အောက်ပါစည်းမျဉ်းကို multipart request တွေကို block လုပ်ဖို့ အသုံးပြုနိုင်ပါတယ်။

RewriteCond %{HTTP:Content-Type} အစိတ်အပိုင်းများစွာ [NC]
စည်းမျဉ်းပြန်ရေးပါ ^ — [F,L]

nginx မှာ block လုပ်ဖို့:

($http_content_type ~* "multipart") ဖြစ်ပါက {
403 ပြန်လာ;
}

Caddy ကို သော့ခတ်ရန်-

@multipart header_regexp အကြောင်းအရာ-အမျိုးအစား (?i)multipart
@multipart 403 ကို တုံ့ပြန်ပါ

အပ်ဒိတ်- PHP 8.5.12၊ 8.4.27၊ 8.3.36 နှင့် 8.2.35 patch များကို ထုတ်ပြန်ခဲ့ပြီး အရေးကြီးသော အားနည်းချက်များကို ပြင်ဆင်ပြီးသည့် အသေးစိတ်အချက်အလက်များလည်း ပါဝင်သည်။ အားနည်းချက်များနှင့် တရားဝင်အကြံပြုထားသော ဖြေရှင်းနည်းများ၏ အသေးစိတ်ခွဲခြမ်းစိတ်ဖြာမှုကို သီးခြားသတင်းတစ်ပုဒ်တွင် ရရှိနိုင်ပါသည်။

source: opennet.ru