В PHP нашли дыру, которая может уронить любой сайт

Сегодня в 17:00 по Москве разработчики PHP выпускают экстренные корректирующие версии (ветки 8.2–8.5) из-за пары критических уязвимостей, позволяющих удаленно выполнить произвольный код на сервере. Проблема живет в кодовой базе со времен древнего PHP 5.4 и успешно работает в конфигурации из коробки. В сети уже вовсю гуляют готовые PoC-эксплойты.

Уязвимость связана с классическим Use-After-Free в обработчике прогресса загрузки файлов (session.upload_progress). При этом на атакуемом сайте может вообще не быть форм для загрузки файлов — интерпретатору достаточно просто скормить любой POST-запрос с типом контента multipart/form-data, чтобы внутренний механизм PHP споткнулся об освобожденную память. В качестве временного костыля в сети советуют вырубить директиву в php.ini, но мейнтейнеры и авторы эксплойтов предупреждают сразу: этого недостаточно. Единственный способ закрыться без наката бинарных патчей — намертво заблокировать multipart/form-data на уровне Nginx, что моментально положит на сайте любые пользовательские формы и загрузку медиа.