Zhvilluesit e PHP njoftuan publikimin sot në orën 17:00 (MSK) të versioneve emergjente korektuese (8.5.12, 8.4.27, 8.3.36 dhe 8.2.35), në të cilat do të adresohen dy dobësi kritike. Të gjithë administratorëve të serverëve me PHP u rekomandohet të instalohet menjëherë patches në sistemet e tyre, menjëherë pas lëshimit të tyre. Detajet zyrtare do të publikohen vetëm pas shfaqjes së patches, por sipas informacionit të disponueshëm në publik, bëhet fjalë për dobësitë CVE-2026-109618 dhe CVE-2026-109619, të cilat potencialisht lejojnë ekzekutimin e kodit të tyre në çdo server web që ekzekuton skripte PHP në konfigurimin e tij të parazgjedhur. Problemet shfaqen në të gjitha versionet, duke filluar nga PHP 5.4.
Në rrjet tashmë janë shfaqur prototipat e eksploiteve (1, 2) për të verifikuar ndjeshmërinë e sistemeve ndaj dobësisë. Në shenimin e eksploiti pretendohet se dobësitë shkaktohen nga aksesimi i memorjes së saj të liruar në menaxherin e gjurmimit të avancimeve të ngarkesave të skedareve në server (session.upload_progress). Ndonjë funksionalitet në faqen internet për ngarkimin e skedarëve për të kryer sulmin nuk është i nevojshëm, mjafton që të ndodhi automatikisht në interpretorin PHP menaxheri i përmbajtjes "multipart/form-data". Për të realizuar me sukses një shfrytëzim kërkohet përcaktimi i strukturave të memorie tek procesi, të cilat janë specifike për çdo build (problemi zgjidhet duke bërë një shfaqje në eksploit, me zhvendosje të llogaritura paraprakisht për paketa nga shpërndarje të ndryshme).
Si një mënyrë për të mbrojtur, rekomandohen parametrat në php.ini për të vendosur "session.upload_progress.enabled = off" (ose "php_admin_flag[session.upload_progress.enabled] = off" në PHP-FPM), por një përfaqësues i projektit PHP, si dhe autori i prototipit të parë të eksploiteve e pretendojnë se ky nuk është mjaftueshëm për të bllokuar të dy dobësitë. Në shenimin e prototipit të dytë të eksploiteve përmendet se përveç cilësimit të mësipërm në php.ini për të parandaluar sulmin pa përdorur patch, kërkohet bllokimi i plotë i kërkesave me llojin e përmbajtjes "multipart/form-data", i cili do të çonte në pamundësinë për të ngarkuar skedarë përmes formave web.
Në Apache httpd për të bllokuar kërkesat multipart mund të përdoret rregulli i mëposhtëm në mod_rewrite:
RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ â [F,L]
Për të bllokuar në nginx:
if ($http_content_type ~* "multipart") {
return 403;
}
Për të bllokuar në Caddy:
@multipart header_regexp Content-Type (?i)multipart
respond @multipart 403
Shtesë: Janë publikuar lëshimet korigjuese PHP 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35, si dhe detajet mbi vulnerabilitetet kritike të korrigjuara. Analiza e vulnerabiliteteve dhe metodat e rekomanduara për mbrojtje janë publikuar në një lajm të veçantë.
Burimi: opennet.ru
