Miljoniem vietņu varētu saskarties ar nopietniem drošības riskiem pēc tam, kad informācija par divām kritiskām PHP ievainojamībām noplūda pirms to plānotās atklāšanas, izraisot ārkārtas paziņojumu par ielāpu un steidzamiem brīdinājumiem vietņu administratoriem visā pasaulē.
PHP drošības komanda otrdien apstiprināja, ka tā trešdien, 21. oktobrī, plkst. 14:00 UTC (10:00 Austrumu laika) izlaidīs ārkārtas drošības atjauninājumus, lai novērstu divas ievainojamības, katrai CVSS v4.0 sistēmā smaguma pakāpe ir 9,2.
Brīdinājums ir nosūtījis vietņu operatoriem un kiberdrošības komandām šifrēšanu, lai sagatavotos labojumiem. PHP ir viena no interneta visplašāk izmantotajām servera puses programmēšanas valodām, kas atbalsta visu, sākot no WordPress vietnēm un tiešsaistes veikaliem līdz uzņēmuma lietojumprogrammām.
Bažas pārsniedz pašu ievainojamību. Drošības pētnieki saka, ka informācija tiešsaistē parādījās pirms saskaņotas atklāšanas, potenciāli dodot uzbrucējiem priekšrocību, pirms vietņu īpašnieki var instalēt ielāpus.
Savā oficiālajā drošības ieteikumā PHP izstrādes komanda mudināja administratorus nekavējoties sagatavoties.
“Visi PHP lietotāji tiek aicināti sagatavoties tagad, lai viņi varētu jaunināt, tiklīdz ir pieejams laidiens,” sacīja komanda.
“Mēs paturam tiesības atbrīvot agrāk, ja informācija par neaizsargātību kļūst publiska vai ja savvaļā parādās pierādījumi par aktīvu izmantošanu.”
Nopludinātas PHP ievainojamības var ļaut hakeriem pārņemt vietnes kontroli
Divas ievainojamības, ko drošības pētnieki identificējuši kā CVE-2026-109618 un CVE-2026-109619tiek uzskatīts par attālās koda izpildes (RCE) trūkumiem.
Šī klasifikācija ir īpaši satraucoša. Veiksmīga RCE ievainojamības izmantošana var ļaut uzbrucējam izpildīt ļaunprātīgas instrukcijas attālajā serverī, kas var izraisīt datu nozagšanu, lietojumprogrammu uzlaušanu, nesankcionētu piekļuvi vai pilnīgu servera pārņemšanu.
Kiberdrošības firma watchTowr apstiprināja ievainojamības pēc tam, kad informācija par tām parādījās tiešsaistē pirms termiņa.
“Pēdējās stundas laikā ir nopludinātas divas PHP attālinātas koda izpildes ievainojamības. Šīs ievainojamības iepriekš bija ieplānotas embargo, un tās bija jāatbrīvo ceturtdien plkst. 11:00 ET,” intervijā BleepingComputer sacīja watchTowr izpilddirektors Bendžamins Heriss.
“Lai gan šobrīd acīmredzamu iemeslu dēļ mēs nevaram kopīgot tehnisko informāciju, ņemot vērā jutīgumu, mēs varam apstiprināt, ka šīs ievainojamības patiešām ir reālas. Abas tās ir CVSS10, un tiek uzskatīts, ka tās ietekmē PHP 5., 6., 7. un 8. versijas.”
Šis novērtējums atšķiras no PHP oficiālā smaguma pakāpes 9,2. PHP drošības komanda vēl nav publiski apstiprinājusi ietekmētās versijas vai atklājusi ekspluatācijai nepieciešamos tehniskos nosacījumus.
PHP 6 nekad netika izlaista kā stabila ražošanas versija, padarot ziņoto versiju diapazonu par vēl vienu iemeslu gaidīt oficiālo tehnisko ieteikumu.
WatchTowr teica, ka uzskata, ka tas veiksmīgi reproducējis CVE-2026-109618, taču pirms drošības labojumu veikšanas neizpauž tehniskās detaļas.
Informācijas atklāšana ir piesaistījusi infrastruktūras nodrošinātāju uzmanību. Saskaņā ar Tenable drošības analīzi, Cloudflare CTO Dane Knecht ir ziņojis par agrīnām uzbrukumu pazīmēm.
Paziņotā darbība palielina administratoru likmes, lai gan pilns izmantošanas apjoms joprojām nav skaidrs.
Kāpēc miljoniem ar PHP darbināmu vietņu varētu būt apdraudētas
PHP sasniedzamība padara šo brīdinājumu neparasti nozīmīgu. Valoda atrodas aiz lielākajām satura pārvaldības sistēmām, tostarp WordPress, Drupal un Joomla, kā arī neskaitāmas pielāgotas lietojumprogrammas un e-komercijas pakalpojumi.
Nopietna PHP ievainojamība var ietekmēt pamatā esošo servera vidi, nevis tikai vienu spraudni vai vietnes funkciju.
Vietņu operatoriem šī atšķirība ir svarīga. WordPress atjaunināšana, spraudņa ielāpa instalēšana vai vietnes paroles maiņa ne vienmēr novērš paša PHP izpildlaika ievainojamību.
Lielākas bažas rada vecākas PHP instalācijas.
Drošības pētnieki brīdina, ka neatbalstītās PHP versijas, iespējams, nekad nesaņems šo ievainojamību labojumus. Saskaņā ar Tenable teikto, ir sagaidāmi ārkārtas atjauninājumi atbalstītajām PHP 8.x filiālēm, tādējādi organizācijas, kas izmanto novecojušas versijas, saskaras ar sarežģītākiem drošības lēmumiem.
Administratoriem ir jānosaka, kuras PHP versijas izmanto viņu serveri, jāsagatavo dublējumkopijas, jāsaskaņo ar mitināšanas pakalpojumu sniedzējiem un jāinstalē oficiālie drošības laidieni, tiklīdz tie kļūst pieejami.
Organizācijām, kas nevar labot neaizsargātās sistēmas, var būt nepieciešami pagaidu aizsardzības pasākumi, tostarp ierobežot sabiedrības piekļuvi ietekmētajiem pakalpojumiem, līdz ir iespējama jaunināšana.
PHP komanda ir paziņojusi, ka tā kopā ar drošības atjauninājumiem atklās visu tehnisko informāciju, ietekmētās versijas un labotos izlaidumus.
Pagaidām viena atšķirība joprojām ir svarīga: PHP plaši izplatītā izmantošana nenozīmē, ka katra ar PHP darbināma vietne tiek apstiprināta kā neaizsargāta. Precīza ekspozīcija ir atkarīga no tehniskām detaļām, kas vēl nav oficiāli publicētas.
Tomēr nopludinātās ievainojamības informācijas, iespējamas attālinātas koda izpildes un milzīgas instalētās bāzes kombinācija vietņu operatoriem rada bīstamu logu.
Tūlītēja prioritāte ir skaidra: identificējiet PHP izvietošanas vietas, skatieties oficiālos PHP drošības paziņojumus un esiet gatavs piemērot ārkārtas labojumus.
Miljoniem vietņu, kuru pamatā ir PHP, nākamais drošības atjauninājums varētu būt viens no gada svarīgākajiem atjauninājumiem.
