PHP
3 статей с этим тегом
Что проверить после экстренного обновления PHP: веб-PHP и PHP в командной строке, set -e и коды возврата diff, а также повторная проверка на взлом
Во время реагирования в октябре 2026 года на критические уязвимости PHP на сайте, которым управляет оператор этого сайта, обновили веб-PHP, но PHP в командной строке, которым пользовался cron, по-прежнему указывал на старую версию. Проверяйте веб и CLI отдельно. При set -e утилиты diff и grep возвращают код выхода 1 для «найдены различия» или «совпадений нет», и это останавливает скрипт; коды 0, 1 и 2 нужно обрабатывать отдельно. После обновления запустите один и тот же чек-лист проверки на взлом на каждом сервере и разрешите подозрительную запись в журнале, сравнив живые файлы с эталонной копией, которая была развёрнута.
Fragnesia в ядре Linux (CVE-2026-46300): CISA внесла её в список эксплуатируемых со сроком 31 октября; обновите PHP и ядро, затем перезагрузитесь
CVE-2026-46300, получившая название Fragnesia, — уязвимость в ядре Linux, позволяющая локальному пользователю с низкими привилегиями получить root (CVSS v3.1 7.8, локальный вектор атаки). Когда ядро перемещает фрагменты данных между сетевыми буферами, оно может потерять метку, говорящую, что данные используются совместно с файлом в памяти, и тогда код IPsec ESP может расшифровать данные поверх кэшированной копии файла, доступного только для чтения. Проект ядра опубликовал CVE 23 мая 2026 года, а исправления есть в ядрах 5.10.257, 5.15.208, 6.1.174, 6.6.141, 6.12.91, 6.18.33 и 7.0.10 и новее. 28 октября 2026 года (по времени США) CISA внесла её в каталог Known Exploited Vulnerabilities (KEV) на основании свидетельств активной эксплуатации, со сроком 31 октября для федеральных ведомств США. В описании CISA сказано, что её можно связать с PHP-уязвимостями CVE-2026-109618 и CVE-2026-109619, чтобы внедрить PHP-веб-шеллы и выполнять команды от имени root. Компания по безопасности сообщила, что эта цепочка использовалась против 25 серверов (в основном межсетевых экранов), а SecurityWeek повторил это сообщение; этот сайт независимо не проверял числа. Ubuntu, Red Hat и Debian выпустили исправленные ядра, а обновление ядра действует только после перезагрузки. Вывод этого сайта: если вы запускаете PHP-сайты на Linux, обновите PHP и ядро, перезагрузитесь и проверьте наличие веб-шеллов.
[Срочно] Уязвимости PHP CVE-2026-109618 и CVE-2026-109619 уже эксплуатируются и добавлены в каталог KEV CISA. Обновите до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 немедленно
21 октября 2026 года команда безопасности PHP выпустила PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые устраняют две критические уязвимости, позволяющие выполнять удаленный код без аутентификации (RCE), и призвала всех пользователей немедленно обновиться. CVE-2026-109618 связана с обработкой нехватки памяти, CVE-2026-109619 связана с устаревшим внутренним состоянием, сохраняющимся между запросами; обе оценены в 9,2 по CVSS v4.0. Под угрозой находятся все установки PHP, обрабатывающие веб-запросы (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed). Команда считает mod_php наиболее опасным вариантом, ссылаясь на продемонстрированный эксплойт, в котором запрос без аутентификации запускает атаку до выполнения какого-либо кода приложения. Официальных обновлений для PHP 8.1 и более старых версий не выпущено; команда предоставила минимальные бэкпорты исходного кода для 7.4, 8.0 и 8.1. Дистрибутивы Linux получили патчи заранее. Полного способа защиты нет, обновление — единственный безопасный вариант. 22 октября IPA и JPCERT/CC Японии выпустили предупреждения, а JVN опубликовала JVNVU#99905564. CISA, которая не наблюдала эксплуатацию на момент первой публикации своего предупреждения, 26 октября добавила обе уязвимости в каталог Known Exploited Vulnerabilities (KEV) и установила для федеральных гражданских ведомств США срок до 29 октября. По сообщениям СМИ, на honeypot-системах исследователя безопасности с неисправленным PHP 8.4.26 под mod_php 24 октября было зафиксировано успешное удаленное выполнение кода. Honeypot-системы крупного облачного провайдера фиксировали попытки эксплуатации начиная с 17 октября, за четыре дня до раскрытия. Насколько удалось установить этому сайту, по состоянию на 27 октября ни один взлом за пределами honeypot-систем не был обнародован. Большинство крупных японских провайдеров общего хостинга сообщили, что исправление применено, однако некоторые, например KAGOYA, этого не сделали. 23 октября команда PHP раскрыла третью проблему (CVE-2026-115560), которую выпуски от 21 октября не устраняют. Она может привести к выполнению кода только при определенном сочетании конфигурации и кода приложения; команда считает такой сценарий маловероятным на практике, исправление и полное описание выйдут со следующим регулярным релизом, а до тех пор рекомендуется установить session.upload_progress.enabled=0. Затронутые версии и оценка CVSS не опубликованы, сообщений об эксплуатации нет. По состоянию на 29 октября (проверено на php.net) исправленный релиз для этой проблемы еще не вышел. 28 октября CISA также внесла уязвимость ядра Linux CVE-2026-46300 в KEV (срок для федеральных ведомств США — 31 октября) и сообщила, что её можно использовать в цепочке с этими двумя уязвимостями, чтобы внедрять PHP-веб-шеллы и выполнять команды с правами root. Мнение этого сайта: эксплуатация теперь подтверждена, поэтому выясните, обновляете ли PHP для каждого сайта вы или ваш провайдер, и перейдите на исправленную версию сегодня. Также проверьте логи с 17 октября и далее на признаки взлома. На общем хостинге проверьте уведомление провайдера о завершении работ на его официальном сайте.