Уразливість PHP була відома розробникам за два роки до розкриття
Команда супроводу PHP знала про критичну проблему в механізмі обробки помилок приблизно за два роки до її публічного розкриття. Як повідомляє Tom's Hardware, уразливість може дати змогу віддалено виконувати код із правами PHP, якщо зловмисник має достатньо відомостей про конкретну версію та збірку програмного забезпечення.
Проблему виявили в тиждень 19 жовтня 2026 року за участі OpenAI GPT 5.6-Sol. Видання зазначає, що PHP використовується приблизно на 70% вебсайтів, а на момент розголосу 73% онлайн-інсталяцій PHP працювали на версіях, підтримку яких уже припинено.
Першопричиною стала давня архітектурна особливість обробки помилок у рушії PHP. Коли процесу бракує пам’яті, він викликає функцію C longjmp(), яка негайно переносить виконання коду в інше місце. Якщо це відбувається під час формування структури даних, у пам’яті можуть залишитися незавершені дані.
Під час подальшого очищення PHP може обробляти ці некоректні дані як завершені. За допомогою спеціально сформованого вебзапиту цей механізм, за описом видання, використовується в ланцюговому експлойті PHP2Shell для виконання довільного коду. Після розкриття уразливості частина адміністраторів вимкнула показ номерів версій PHP, щоб не спрощувати зловмисникам підбір цілей.
У постмортемі PHP Foundation вказала, що команда тривалий час обговорювала виправлення, намагаючись зберегти сумісність зі сторонніми розширеннями. Організація має одного штатного працівника та 14 підрядників, які працюють неповний день.
Стандартне усунення проблеми передбачає оновлення PHP до виправленої версії та, за потреби, перезапуск сервісів. Для застарілих гілок доступні виправлення від окремих постачальників: Ondřej Surý підготував пакети для PHP 5.6–8.1 у системах Debian та Ubuntu, а CloudLinux і AlmaLinux також випустили зворотно портовані оновлення. Додатково вебзастосункові фаєрволи та CDN-сервіси Cloudflare і Fastly додали правила для виявлення PHP2Shell, однак основним способом захисту залишається встановлення виправленої версії PHP.
- Останні
- Популярні
Новини по днях
5 листопада 2026
