LINUXTALKS.CO
Новости — Безопасность  

В PHP нашли дыры (опять)

 ,

L


0

1

Разработчики интерпретатора PHP опубликовали внеочередные обновления безопасности, устраняющие две опасные уязвимости. Дефекты с номерами CVE-2026-109618 и CVE-2026-109619 позволяют неаутентифицированным удаленным атакующим выполнять произвольный код на веб-сервере с правами рабочего процесса.

Обе проблемы связаны с ошибками управления памятью при сбоях в ходе выполнения скрипта:

  • CVE-2026-109618 проявляется при превышении лимита памяти (memory_limit). При некорректном прерывании запроса внутренние структуры данных остаются частично инициализированными, из-за чего последующая очистка приводит к повреждению памяти.
  • CVE-2026-109619 относится к классу Use-After-Free. Указатели на глобальное состояние запроса сохраняются после очистки памяти, что позволяет следующему запросу в рамках того же процесса получить доступ к чужим данным.

Проблемы затрагивают широкую линейку версий PHP. Исправления доступны в актуальных релизах PHP 8.2, 8.3, 8.4 и 8.5. Поскольку в сети уже появились первые публичные концепты атак (PoC), администраторам рекомендуется обновить интерпретаторы в приоритетном порядке.

>>> Подробности

★★★★★★★★★★★★★★
Ответ на: комментарий от Aber

Блэт, эксплоиты чего. похапе - это натурально one-pass процесс и ебать его в ухо. Каким хуем эти cvs должны сработать, нид дискашн и экзпердиза.

Anoxemian
★★★★
Anonymous / Unknown (EE)

ЛОЛ

ФСБ выпустила срочное предупреждение из-за PHP: если сайт невозможно оперативно обновить, то доступ к нему следует ограничить⁠

Это касается сайтов госструктур, банков и других финансовых организаций, медучреждений, предприятия энергетики и транспорта

Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ требует установить исправленную версию PHP, проверить серверы антивирусом и изучить журналы событий на предмет возможного взлома. Если быстро обновить программное обеспечение невозможно, организации должны рассмотреть ограничение внешнего доступа к уязвимым веб-серверам вплоть до их полного отключения. О подозрительных инцидентах необходимо сообщать в ГосСОПКУ — государственную систему противодействия компьютерным атакам.

...
Масштаб потенциальной угрозы велик: по данным W3Techs, PHP используют 90,8% сайтов с русскоязычным контентом и 69,3% всех сайтов в мире.  
Некоторые государственные ведомства и организации в Европе и Японии уже ограничили доступ к своим ресурсам

ixbt.com

Aber
★★★★★★★
Последнее исправление: Aber (всего исправлений: 1)
Ubuntu / Firefox (GB)
Безопасность