TGLIST.COM.UA
Джерело
USEDNET LLC - телекомунікаційне, серверне та інше обладнання для вашого бізнесу | Інформування щодо кіберзагроз.CERT-UA інформує про загрозу неавтентифі...
USEDNET LLC - телекомунікаційне, серверне та інше обладнання для вашого бізнесу
@usednet
42 Охват/переглядів
2026-10-21 17:58
Повідомлення №4233
Інформування щодо кіберзагроз.
CERT-UA інформує про загрозу неавтентифікованого віддаленого виконання коду (RCE) у мові програмування PHP через критичні вразливості CVE-2026-109618 та CVE-2026-109619 (також відомі як "PHP2Shell").
Вразливості містяться у C-коді інтерпретатора PHP (зокрема у модулях обробки запитів та управління пам'яттю) незалежно від конфігурації веб-сервера. Загрозі присвоєно критичний рівень небезпеки CVSS v4.0 – 9.2 (за оцінками незалежних дослідників — до 10.0).
У мережі вже наявні публічні інструменти експлоатації та зафіксовано спроби масового сканування й атак.
Вразливі та виправлені версії:
- Вразливими є всі версії PHP, починаючи з 5.4.0 і закінчуючи 8.5.11.
- Офіційні виправлені версії: PHP 8.2.35, 8.3.36, 8.4.27 та 8.5.12.
- Застарілі версії (PHP 5.x, 7.x, 8.0, 8.1) досягли завершення життєвого циклу (EOL) і вже не отримають офіційних оновлень від PHP Foundation.
Можливі наслідки:
- Повна компроментація вебсервера та виконання системних команд у контексті робочих процесів PHP (php-fpm, php-cgi, apache2, nginx).
- Викрадення паролів, сесійних токенів та ключів доступу безпосередньо з пам'яті сервера, а також розгортання веб-шелів.
- Компрометація вебдодатків та CMS (WordPress, Magento, WooCommerce, Drupal тощо).
Рекомендації з протидії та реагування:
1. Оновлення інтерпретатора: Наполегливо рекомендуємо якнайшвидше оновити PHP на підтримуваних гілках до виправлених версій (https://www.php.net/archive/2026.php#2026-10-21-5) та перезапустити сервіси PHP (systemctl restart php-fpm). Це єдиний підтверджений і надійний шлях повного захисту.
2. Використання WAF та мережевих правил: Компанія Cloudflare випустила оновлені правила безпеки для WAF, спрямовані на блокування спроб експлоатації PHP2Shell. Наголошуємо, що застосування правил WAF є лише тимчасовим заходом стримування, а єдиним підтвердженим способом захисту залишається оновлення самого інтерпретатора PHP.
3. Тимчасові заходи (для EOL-версій або до моменту патчингу):
- Вимкніть відстеження завантаження файлів у сесіях, встановивши параметр session.upload_progress.enabled = Off у файлі php.ini, та перезапустіть PHP-сервіс.
- Обмежте мережевий доступ до вебсерверів (за можливості)
4. Моніторинг та аналіз:
- Перевірте журнали та налаштуйте виявлення підозрілих дочірніх процесів, що породжуються PHP (зокрема запуск /bin/sh, bash, powershell, curl, wget, тощо від імені php-fpm, httpd, nginx).
- Контролюйте появу нових або змінених .php файлів у вебдиректоріях.
CERT-UA інформує про загрозу неавтентифікованого віддаленого виконання коду (RCE) у мові програмування PHP через критичні вразливості CVE-2026-109618 та CVE-2026-109619 (також відомі як "PHP2Shell").
Вразливості містяться у C-коді інтерпретатора PHP (зокрема у модулях обробки запитів та управління пам'яттю) незалежно від конфігурації веб-сервера. Загрозі присвоєно критичний рівень небезпеки CVSS v4.0 – 9.2 (за оцінками незалежних дослідників — до 10.0).
У мережі вже наявні публічні інструменти експлоатації та зафіксовано спроби масового сканування й атак.
Вразливі та виправлені версії:
- Вразливими є всі версії PHP, починаючи з 5.4.0 і закінчуючи 8.5.11.
- Офіційні виправлені версії: PHP 8.2.35, 8.3.36, 8.4.27 та 8.5.12.
- Застарілі версії (PHP 5.x, 7.x, 8.0, 8.1) досягли завершення життєвого циклу (EOL) і вже не отримають офіційних оновлень від PHP Foundation.
Можливі наслідки:
- Повна компроментація вебсервера та виконання системних команд у контексті робочих процесів PHP (php-fpm, php-cgi, apache2, nginx).
- Викрадення паролів, сесійних токенів та ключів доступу безпосередньо з пам'яті сервера, а також розгортання веб-шелів.
- Компрометація вебдодатків та CMS (WordPress, Magento, WooCommerce, Drupal тощо).
Рекомендації з протидії та реагування:
1. Оновлення інтерпретатора: Наполегливо рекомендуємо якнайшвидше оновити PHP на підтримуваних гілках до виправлених версій (https://www.php.net/archive/2026.php#2026-10-21-5) та перезапустити сервіси PHP (systemctl restart php-fpm). Це єдиний підтверджений і надійний шлях повного захисту.
2. Використання WAF та мережевих правил: Компанія Cloudflare випустила оновлені правила безпеки для WAF, спрямовані на блокування спроб експлоатації PHP2Shell. Наголошуємо, що застосування правил WAF є лише тимчасовим заходом стримування, а єдиним підтвердженим способом захисту залишається оновлення самого інтерпретатора PHP.
3. Тимчасові заходи (для EOL-версій або до моменту патчингу):
- Вимкніть відстеження завантаження файлів у сесіях, встановивши параметр session.upload_progress.enabled = Off у файлі php.ini, та перезапустіть PHP-сервіс.
- Обмежте мережевий доступ до вебсерверів (за можливості)
4. Моніторинг та аналіз:
- Перевірте журнали та налаштуйте виявлення підозрілих дочірніх процесів, що породжуються PHP (зокрема запуск /bin/sh, bash, powershell, curl, wget, тощо від імені php-fpm, httpd, nginx).
- Контролюйте появу нових або змінених .php файлів у вебдиректоріях.