Sårbarhet i PHP som potentiellt kan kompromettera vilken PHP-webbplats som helst

PHP-utvecklarna har tillkännagivit att de idag kl. 17:00 (MSK) publicerar akuta korrigeringsversioner (8.5.12, 8.4.27, 8.3.36 och 8.2.35) som kommer att åtgärda två kritiska sårbarheter. Alla serveradministratörer med PHP rekommenderas att omedelbart installera korrigeringar på sina system så snart de släppts. Det officiella innehållet kommer först att avslöjas efter att korrigeringarna blivit tillgängliga, men enligt information som har läckt ut, handlar det om sårbarheterna CVE-2026-109618 och CVE-2026-109619, som potentiellt kan möjliggöra fjärrkörning av kod på vilken webbserver som helst som kör PHP-skript med standardkonfiguration. Problemen finns i alla versioner från och med PHP 5.4.

Prototyper av exploater (1, 2) för att kontrollera systemens sårbarhet har redan dykt upp på nätet. I anteckningen till exploaterna påstås det att sårbarheterna orsakas av åtkomst till redan frigjord minne i hanteraren för att spåra filöverföringens framsteg. server (session.upload_progress). Det krävs ingen funktionalitet för filuppladdningar på webbplatsen för att genomföra en attack, det räcker med att det automatiskt aktiveras i PHP-tolkaren för innehållshanteraren „multipart/form-data”. För en framgångsrik exploatering krävs en bestämning av minneslayouten i processens minne, vilket är specifikt för varje version (problemet löses genom att i exploaterna systematiskt beräkna förskjutningar som är förutbestämda för paket från olika distributioner).

Som en skyddsåtgärd föreslås det att ändra php.ini-inställningen till „session.upload_progress.enabled = off” (eller „php_admin_flag[session.upload_progress.enabled] = off” i PHP-FPM), men en representant för PHP-projektet samt författaren av den första prototypen av exploaten hävdar att detta inte är tillräckligt för att blockera båda sårbarheterna. I anteckningen till den andra prototypen av exploaten nämns att, utöver den nämnda inställningen i php.ini, krävs en fullständig blockering av förfrågningar med innehållstypen „multipart/form-data” för att förhindra attacken utan att använda en patch, vilket kommer att leda till att filuppladdningar via webbformulär blir omöjliga.

I Apache httpd kan följande regel i mod_rewrite användas för att blockera multipart-förfrågningar:

RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ — [F,L]

För att blockera i nginx:

if ($http_content_type ~* „multipart”) {
return 403;
}

För att blockera i Caddy:

@multipart header_regexp Content-Type (?i)multipart
respond @multipart 403

Tillägg: Korrigerande versioner av PHP 8.5.12, 8.4.27, 8.3.36 och 8.2.35 har publicerats, samt detaljer om de åtgärdade kritiska sårbarheterna. Analys av sårbarheterna och officiellt rekommenderade skyddsåtgärder publicerades i en separat nyhet.

Källa: opennet.ru