❗Критические уязвимости PHP: CVE-2026-108618/619
В PHP обнаружены две уязвимости – CVE-2026-109618 и CVE-2026-109619, обе с оценкой 9,2 из 10. Они могут позволить атакующему без логина и пароля выполнить код с правами рабочего процесса веб-сервиса.
Проблема затрагивает сам интерпретатор, поэтому проверить нужно все веб-сервисы на PHP: корпоративные сайты, личные кабинеты, внутренние порталы и тестовые площадки. Под угрозой установки с PHP-FPM, Apache с mod_php и другими обработчиками. Для mod_php подтверждена атака ещё до выполнения кода сайта.
Исправления доступны с 21 октября, но их необходимо установить на каждом затронутом сервере. Временные настройки закрывают лишь отдельные сценарии атаки.
Что сделать администраторам:
🔹 Проверить версии и обновить PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 – в зависимости от ветки. Можно установить пакет поставщика с исправлениями обеих CVE. Для Docker – пересобрать образ с исправленным PHP и пересоздать контейнеры.
🔹 Перезапустить PHP-FPM или Apache с mod_php. Убедиться, что все рабочие процессы используют обновлённую сборку, и проверить работу приложений.
🔹 Для PHP 8.1 и старше – перейти на поддерживаемую ветку либо получить исправление у поставщика. Для 7.4, 8.0 и 8.1 команда PHP также предоставила минимальные патчи исходного кода.
🔹 Если обновление откладывается – временно закрыть публичный доступ к уязвимому сервису. Для снижения риска установить session.upload_progress.enabled=0 в php.ini или конфигурации пула FPM; для PHP 8.5 также предусмотрено fatal_error_backtraces=0. После изменений перезапустить процессы. Эти настройки не заменяют обновление.
🔹 Если используется WAF – проверить включение правил против этих CVE. Они дают дополнительную защиту, но не устраняют ошибки PHP.
🔹 Проверить журналы PHP, веб-сервера и события WAF: ошибки исчерпания памяти, необъяснимые падения процессов и подозрительные запросы. Отклонения требуют расследования; сами по себе они не доказывают взлом.
🔹 Разработчики средств защиты, выпустили дополнительные защитные правила — виртуальные патчи для блокирования попыток эксплуатации этих уязвимостей. Они дополняют защиту, но не заменяют обновление PHP.
Для получения виртуальных патчей и консультации по их применению обращайтесь в ЦЗИ «Север».
В PHP обнаружены две уязвимости – CVE-2026-109618 и CVE-2026-109619, обе с оценкой 9,2 из 10. Они могут позволить атакующему без логина и пароля выполнить код с правами рабочего процесса веб-сервиса.
Проблема затрагивает сам интерпретатор, поэтому проверить нужно все веб-сервисы на PHP: корпоративные сайты, личные кабинеты, внутренние порталы и тестовые площадки. Под угрозой установки с PHP-FPM, Apache с mod_php и другими обработчиками. Для mod_php подтверждена атака ещё до выполнения кода сайта.
Исправления доступны с 21 октября, но их необходимо установить на каждом затронутом сервере. Временные настройки закрывают лишь отдельные сценарии атаки.
Что сделать администраторам:
🔹 Проверить версии и обновить PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 – в зависимости от ветки. Можно установить пакет поставщика с исправлениями обеих CVE. Для Docker – пересобрать образ с исправленным PHP и пересоздать контейнеры.
🔹 Перезапустить PHP-FPM или Apache с mod_php. Убедиться, что все рабочие процессы используют обновлённую сборку, и проверить работу приложений.
🔹 Для PHP 8.1 и старше – перейти на поддерживаемую ветку либо получить исправление у поставщика. Для 7.4, 8.0 и 8.1 команда PHP также предоставила минимальные патчи исходного кода.
🔹 Если обновление откладывается – временно закрыть публичный доступ к уязвимому сервису. Для снижения риска установить session.upload_progress.enabled=0 в php.ini или конфигурации пула FPM; для PHP 8.5 также предусмотрено fatal_error_backtraces=0. После изменений перезапустить процессы. Эти настройки не заменяют обновление.
🔹 Если используется WAF – проверить включение правил против этих CVE. Они дают дополнительную защиту, но не устраняют ошибки PHP.
🔹 Проверить журналы PHP, веб-сервера и события WAF: ошибки исчерпания памяти, необъяснимые падения процессов и подозрительные запросы. Отклонения требуют расследования; сами по себе они не доказывают взлом.
🔹 Разработчики средств защиты, выпустили дополнительные защитные правила — виртуальные патчи для блокирования попыток эксплуатации этих уязвимостей. Они дополняют защиту, но не заменяют обновление PHP.
Для получения виртуальных патчей и консультации по их применению обращайтесь в ЦЗИ «Север».
Просмотры: 8
