LINUXTALKS.CO
Новости — Безопасность  

В PHP нашли дыры (опять)

 ,

L


0

1

Разработчики интерпретатора PHP опубликовали внеочередные обновления безопасности, устраняющие две опасные уязвимости. Дефекты с номерами CVE-2026-109618 и CVE-2026-109619 позволяют неаутентифицированным удаленным атакующим выполнять произвольный код на веб-сервере с правами рабочего процесса.

Обе проблемы связаны с ошибками управления памятью при сбоях в ходе выполнения скрипта:

  • CVE-2026-109618 проявляется при превышении лимита памяти (memory_limit). При некорректном прерывании запроса внутренние структуры данных остаются частично инициализированными, из-за чего последующая очистка приводит к повреждению памяти.
  • CVE-2026-109619 относится к классу Use-After-Free. Указатели на глобальное состояние запроса сохраняются после очистки памяти, что позволяет следующему запросу в рамках того же процесса получить доступ к чужим данным.

Проблемы затрагивают широкую линейку версий PHP. Исправления доступны в актуальных релизах PHP 8.2, 8.3, 8.4 и 8.5. Поскольку в сети уже появились первые публичные концепты атак (PoC), администраторам рекомендуется обновить интерпретаторы в приоритетном порядке.

>>> Подробности

★★★★★★★★★★★★★★
Ответ на: комментарий от Aber

Блэт, эксплоиты чего. похапе - это натурально one-pass процесс и ебать его в ухо. Каким хуем эти cvs должны сработать, нид дискашн и экзпердиза.

Anoxemian
★★★★
Anonymous / Unknown (EE)

ЛОЛ

ФСБ выпустила срочное предупреждение из-за PHP: если сайт невозможно оперативно обновить, то доступ к нему следует ограничить⁠

Это касается сайтов госструктур, банков и других финансовых организаций, медучреждений, предприятия энергетики и транспорта

Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ требует установить исправленную версию PHP, проверить серверы антивирусом и изучить журналы событий на предмет возможного взлома. Если быстро обновить программное обеспечение невозможно, организации должны рассмотреть ограничение внешнего доступа к уязвимым веб-серверам вплоть до их полного отключения. О подозрительных инцидентах необходимо сообщать в ГосСОПКУ — государственную систему противодействия компьютерным атакам.

...
Масштаб потенциальной угрозы велик: по данным W3Techs, PHP используют 90,8% сайтов с русскоязычным контентом и 69,3% всех сайтов в мире.  
Некоторые государственные ведомства и организации в Европе и Японии уже ограничили доступ к своим ресурсам

ixbt.com

Aber
★★★★★★★
Последнее исправление: Aber (всего исправлений: 1)
Ubuntu / Firefox (GB)

Наш хостинг белорусский вообще отрубал иностранный трафик на время.

Вчера весь день судорожно обновлял php на всех vps на патченный. На одном серваке debian 9 и его крайне лень мигрировать. Пришлось оставить как есть, только опцию эту прописать что они рекомендуют в php.ini.

По поводу сути уязвимости, я вообще нихуя не понял.

JamesHolden
★★★★★★★★
Android / Firefox (BY)

В PHP нашли дыры (опять)

Ой, блядь. После интервью BBC, где они пригласили на студию «эксперта» и он им сказал, что он не знал, что PHP существует, до сегодняшего утра, - я блядь желаю чтоб их всех сайты и сервера нагнули и выебли самым гнусным образом. Мы живём в ебаной идиократии, где уже даже айтишников заменили щёлкающие клювами ебланы.

https://www.reddit.com/r/tech_x/comments/1xcn94f/bbcs_one_of_the_top_expertsjoe_tidy_of_tech_had/

kevlarbeaver
★★★
Последнее исправление: kevlarbeaver (всего исправлений: 2)
Windows / Chrome (DE)
Безопасность