⚠️ Сьогодні в екосистемі PHP прямо некрасивий день. Мені здається, це найближче до Log4Shell, що ми бачили для 🐘.

Команда PHP терміново закрила дві критичні RCE-вразливості PHP2Shell (CVE-2026-109618/109619) прямо в рушії мови. Тобто потенційно вразливий будь-який сервер, який приймає веб-запити через PHP: Apache mod_php, PHP-FPM, php-cgi, LiteSpeed тощо. Обидві діри з оцінкою 9.2 CVSS і дозволяють виконати довільний код без логіну — звучить вже досить 🔥

Що я помітив: єдиний реальний захист — оновити сам PHP-рантайм (не WordPress/Laravel). Патчі вже є: 8.5.12, 8.4.27, 8.3.36, 8.2.35; усе нижче цього — в зоні ризику, включно зі стар’ячком до 5.4. У першу чергу я б біг перевіряти Apache mod_php, потім PHP-FPM — саме там уже показали робочі шляхи експлуатації.

Усі «костилі» з session.upload_progress.enabled=0, INI-твіканнями й WAF-правилами — це лише тимчасова стіна з картону 🧱, а не захист. Якщо оновитись миттєво не виходить, я б хоча б тимчасово заховав публічні PHP-сайти за VPN/allowlist і урізав розмір запитів.

🤔 Як у вас із цим: уже плануєте нічне вікно на оновлення, чи більше довіряєте бекпортам від дистрибутивів?

🔗 Докладніше:
https://cybersecurefox.com/uk/php2shell-kriticheskie-rce-uyazvimosti-php-patchi-zashchita

#кібербезпека #php #уразливості #адміністрування #devops #websecurity

CyberSecureFox