PHP випустив термінові оновлення безпеки для вирішення критичних уразливостей

Команда розробників PHP випустила термінові оновлення безпеки, які усувають дві критичні уразливості. Ці уразливості можуть дозволити нефіксованим атакам виконувати довільний код на вразливих веб-серверах. Виправлення доступні в PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Адміністраторам настійно рекомендується терміново оновитися.

Огляд вразливостей та їх серйозність

Обидві уразливості, що отримали код CVE-2026-109618 та CVE-2026-109619, мають рейтинг серйозності 9.2 за шкалою CVSS 4.0. Вони впливають на установки PHP, які обробляють веб-запити, включаючи PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP та LiteSpeed.

Згідно з офіційним оголошенням безпеки PHP, найвищий ризик пов’язаний з конфігурацією Apache’s mod_php. Дослідники продемонстрували, що неавтентифікований запит може спровокувати атаку до виконання будь-якого коду програми.

Детальніше про уразливості

Перша уразливість, CVE-2026-109618, пов’язана з корупцією пам’яті під час обробки значення “немає пам’яті”. За певних умов PHP може перервати обробку запиту, поки внутрішні структури лише частково ініціалізовані. Це може призвести до того, що операції очистки звертатимуться до недійсних даних.

Друга уразливість, CVE-2026-109619, стосується застарілого глобального стану. Пам’ять, що належить попередньому запиту, може бути звільнена, тоді як посилання на неї залишаються доступними. Це дозволяє наступному запиту, обробленому тим самим робочим процесом, взаємодіяти з недійсною пам’яттю.

Реакція розробників на загрози

Важливо зазначити, що використання цих уразливостей не вимагає наявності вразливої PHP програми або функції завантаження файлів, доступної в інтернеті. Проблеми виникають в процесі обробки запитів, що викликає особливу тривогу в адміністраторів, які хостять правильно підтримувані програми.

Debian швидко відреагував на уразливості. Проект випустив DSA-6574-1, підтверджуючи, що користувачі Debian 13 “Trixie” можуть оновитися до PHP 8.4.27-1~deb13u1. Debian 12 “Bookworm” отримав PHP 8.2.35-1~deb12u1 у своєму репозиторії безпеки, причому обидва виправлення чітко вказані в зміні пакету.

Серйозність проблеми також спонукала до офіційного попередження від Arch Linux. Воно закликає адміністраторів, що використовують публічно доступні PHP програми, терміново оновитися до php 8.5.12 або php-legacy 8.3.36, в залежності від встановленого пакета.

Правила для інших дистрибутивів Linux та підтримка старих версій

Технічний комітет AlmaLinux також затвердив випуск цих виправлень раніше, ніж Red Hat та CentOS Stream. Виправлені пакети очікуються в тестових репозиторіях пізніше сьогодні, а в продуктивні репозиторії вони надійдуть після завершення тестування.

Для інших дистрибутивів Linux адміністраторам слід перевірити свої репозиторії на наявність оновлених пакетів PHP. Підтримка дистрибуцій та постачальники довгострокової підтримки отримали патчі заздалегідь для підготовки оновлень безпеки, включаючи усунення, яке застосовується за потреби.

Версії PHP 8.1 та старші більше не підтримуються проектом, хоча деякі дистрибуції можуть продовжувати надавати виправлення безпеки. PHP 8.2, у свою чергу, наближається до завершення життя 31 грудня 2026 року.

Команда PHP також підкреслює, що немає повних обхідних шляхів для цих уразливостей. Вимкнення session.upload_progress.enabled та обмеження розмірів запитів може зменшити підвищений ризик для певних шляхів атак. Проте ці заходи не вирішують всі сценарії експлуатації.

Адміністраторам слід встановити відповідне оновлення безпеки якнайшвидше. Також необхідно перезапустити вразливі PHP процеси або сервіси, щоб забезпечити виконання виправленого коду.