Актуализациите са налични във версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, но хакерите вече атакуват

PHP пусна кръпки за две критични уязвимости, които позволяват отдалечено изпълнение на код (RCE), и призова потребителите да ги инсталират възможно най-скоро. Според предупреждението на PHP хакерите вече започват да злоупотребяват с уязвимостите в реални атаки. Информацията е актуална към 6 ноември 2026 г.

Детайли за уязвимостите

Става въпрос за CVE-2026-109618 и CVE-2026-109619. Първата е свързана с препълване на паметта при обработка, а втората – с използване на освободена памет (use-after-free). И двете са с оценка за сериозност 9,2 от 10, което ги определя като критични.

Проблемите са отстранени във версиите PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Потребителите могат да изтеглят новите версии от официалната страница за изтегляне на PHP, където се намират и изходният код, и бинарните файлове за Windows. Дистрибуциите за Linux и доставчиците на LTS версии са получили кръпките предварително, така че потребителите трябва да се обърнат към своите доставчици за актуализирани пакети.

Контекст и реакция

PHP е сред най-разпространените езици за уеб разработка, което прави уязвимостите от този тип особено опасни. Според информация на Ройтерс, изтичане на данни за уязвимостите два дни по-рано е предизвикало паника и множество уебсайтове на правителствени, здравни и образователни институции в Европа временно са преустановили работа.

Флориан Рот, ръководител на отдела за изследвания в Nextron Systems, е заявил, че и двете уязвимости ще получат оценка 10/10, но това не се е случило. Той също е прогнозирал, че ще бъдат коригирани само уязвимостите в PHP 8, което се е потвърдило, въпреки че други източници са твърдели, че ще бъдат отстранени и в по-стари версии като PHP 5.

Според VirusTotal, цитиран от BleepingComputer, над 5,1 милиона PHP хоста са изложени на риск онлайн, като около 3,8 милиона от тях имат поне един отворен порт.

От PHP уточняват, че на риск са всички инсталации, обслужващи уеб заявки, включително PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Най-висок е рискът при mod_php, където е демонстриран експлойт, при който неавтентифицирана заявка може да задейства атаката преди изпълнението на какъвто и да е код на приложението.

Дейн Кнехт, технически директор на Cloudflare, е заявил, че компанията наблюдава първите атаки и актуализира мерките за ограничаване на риска при появата на нови вектори. Това се е случило часове преди PHP да пусне поправките.

От екипа по сигурността на PHP добавят: „Предвид сериозността на тези уязвимости, екипът по сигурността на PHP предостави минимални обратни портове на изходния код за PHP 7.4, PHP 8.0 и PHP 8.1, за да помогне на хората, които компилират от изходния код или нямат достъп до доставчик на LTS версии.“

Препоръки за защита

Най-сигурният вариант е актуализация на PHP. За тези, които не могат да го направят веднага, PHP предлага временни мерки, но подчертава, че те не са цялостно решение. За уязвимостта, свързана с изчерпване на паметта, се препоръчва подходящо настройване на ограниченията за памет и ограничаване на размера на входящите заявки, включително качването на файлове.

За use-after-free уязвимостта администраторите могат да деактивират проследяването на напредъка при качване на файлове в сесията и да активират обратното проследяване на фатални грешки (в PHP 8.5). Препоръчва се също отстраняване на грешки в приложението, които биха могли да предизвикат сривове или изтичане на времето за изчакване, и избягване на остарели настройки, които генерират съобщения за грешки преди пълното инициализиране на приложението.