En sårbarhet i PHP som potensielt kan kompromittere enhver PHP-nettside

PHP-utviklerne har annonsert publiseringen i dag kl. 17:00 (MSK) av kritiske korrigerende versjoner (8.5.12, 8.4.27, 8.3.36 og 8.2.35), som vil rette opp to kritiske sårbarheter. Alle serveradministratorer med PHP anbefales å umiddelbart installere korrigeringene på sine systemer så snart de er tilgjengelige. Detaljer vil bli offentliggjort først etter at korrigeringene er gitt ut, men ifølge offentlig tilgjengelig informasjon dreier det seg om sårbarhetene CVE-2026-109618 og CVE-2026-109619, som potensielt kan tillate fjernkjøring av egen kode på enhver webserver som kjører PHP-skript med standardkonfigurasjon. Problemene eksisterer i alle versjoner fra PHP 5.4.

Prototyper av exploitene (1, 2) for å teste systemer for sårbarhet har allerede dukket opp på nett. I notatet til exploitene hevdes det at sårbarhetene er forårsaket av tilgang til allerede frigitt minne i håndtereren for sporing av opplastingsprogresjon av filer på server (session.upload_progress). Det er ikke nødvendig å ha funksjonalitet for filopplasting på nettstedet for å utføre et angrep; automatisk aktivering i PHP-tolken av 'multipart/form-data' handleren er tilstrekkelig. For vellykket utnyttelse kreves det at oppsettet av strukturer i prosessminnet, som er spesifikt for hver utgave, bestemmes (problemet løses med brute-force i exploit for forskyvningene, forhåndsberegnet for pakker fra forskjellige distribusjoner).

Som en midlertidig beskyttelse finnes det anbefalinger om å sette parameteren 'session.upload_progress.enabled = off' i php.ini (eller 'php_admin_flag[session.upload_progress.enabled] = off' i PHP-FPM), men en representant for PHP-prosjektet, samt forfatteren av den første prototype-exploit, hevder at dette ikke er tilstrekkelig for å blokkere begge sårbarhetene. I notatet til den andre prototype-exploit nevnes det at i tillegg til den nevnte innstillingen i php.ini, kreves det en total blokkering av forespørslene med innholdstypen 'multipart/form-data' for å hindre angrepet uten å bruke patch.

I Apache httpd kan man bruke følgende regel i mod_rewrite for å blokkere multipart-forespørslene:

RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ — [F,L]

For blokkering i nginx:

if ($http_content_type ~* «multipart») {
return 403;
}

For blokkering i Caddy:

@multipart header_regexp Content-Type (?i)multipart
respond @multipart 403

Tilfelle: Det er publisert korrigerende utgivelser for PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35, samt detaljer om de kritiske sårbarhetene som er blitt rettet. Analyse av sårbarhetene og offisielle anbefalte omgåelser er publisert i en egen nyhet.

Kilde: opennet.ru