Echipa PHP a publicat miercuri, 21 octombrie, actualizări de securitate pentru două vulnerabilități critice care pot permite executarea de cod de la distanță fără autentificare. Comisia Europeană, ENISA, CERT-EU, centrul Europol pentru combaterea criminalității informatice și rețeaua europeană a echipelor naționale de răspuns la incidente au cerut organizațiilor să ia măsuri imediate. Avertizarea comună acordă prioritate sistemelor accesibile din internet.
Problemele sunt înregistrate ca CVE-2026-109618 și CVE-2026-109619. Versiunile corectate sunt PHP 8.2.35, 8.3.36, 8.4.27 și 8.5.12. Publicarea acestor pachete, confirmată de dezvoltatori și de autoritățile europene, înlocuiește etapa preavizului privind o lansare viitoare. Actualizările și explicațiile tehnice sunt disponibile, iar recomandarea echipei PHP este instalarea imediată a unei versiuni care include remedierea.
Două probleme diferite în gestionarea memoriei
Prima vulnerabilitate privește felul în care PHP reacționează când nu mai poate aloca memoria necesară unei operațiuni. În anumite situații, procesarea unei cereri se întrerupe în timp ce unele structuri interne sunt inițializate doar parțial. Etapa de închidere a cererii poate utiliza ulterior acele date într-o stare invalidă. Raportul tehnic al proiectului descrie posibilitatea ca acest mecanism să ducă la executarea de cod pe server.
Pentru această problemă, dezvoltatorii au validat executarea de cod prin cereri HTTP împotriva configurațiilor Apache cu modulul mod_php. Testele descrise au folosit limite normale pentru datele de intrare și memorie, precum și configurații cu mai multe procese de lucru. Impactul confirmat se produce cu drepturile contului care execută procesul web. Fiabilitatea exploatării depinde, între altele, de versiunea compilată, extensiile instalate și comportamentul componentelor din fața serverului.
Corecția schimbă tratarea epuizării memoriei, astfel încât ieșirea din operațiunea curentă să nu lase structuri incomplete pentru procedura de închidere. Documentul tehnic precizează că instalarea unei versiuni care conține corecția este singura remediere completă. Măsurile de configurare prezentate separat reduc anumite posibilități de atac, fără să elimine toate situațiile de alocare eșuată a memoriei.
A doua vulnerabilitate se referă la informații interne care supraviețuiesc unei cereri deși memoria aferentă a fost deja eliberată. Același proces de lucru poate primi o altă cerere și poate folosi acele informații înainte ca inițializarea obișnuită să le înlocuiască. Raportul dezvoltatorilor descrie o problemă de utilizare a memoriei după eliberare, cu efecte confirmate asupra confidențialității datelor și posibilitatea executării de cod.
În cazul acestei a doua probleme, solicitările implicate trebuie să ajungă la același proces de lucru. Existența mai multor procese și reciclarea lor reduc probabilitatea reușitei unei încercări individuale, dar nu elimină vulnerabilitatea. Cercetătorii au validat variante de exploatare pentru mod_php și PHP-FPM, cu diferențe între condițiile necesare. Raportul nu tratează toate configurațiile PHP ca având un comportament identic.
Documentația avertizează și că ascunderea mesajelor de eroare nu oferă protecție împotriva acestui mecanism. Starea internă poate fi accesată înainte ca PHP să decidă dacă o avertizare va fi afișată sau înregistrată. Absența unor mesaje în jurnale nu este, prin ea însăși, dovada că sistemul este sigur. Corecția completă resetează starea care nu trebuie păstrată între cereri.
Actualizările privesc și componentele PHP incluse în alte produse
Avertizarea publică PHP include instalațiile care răspund la cereri web prin PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Echipa proiectului apreciază că riscul este cel mai ridicat pentru mod_php: există o demonstrație în care atacul este declanșat înaintea executării codului aplicației.
Organizațiile sunt îndemnate de autoritățile europene să identifice aplicațiile bazate pe PHP și să coordoneze actualizarea cu furnizorii de găzduire și de servicii. Dacă remedierea imediată nu este posibilă, comunicatul recomandă luarea în considerare a izolării aplicațiilor expuse de rețelele publice până la aplicarea corecțiilor. Recomandarea se referă la reducerea expunerii în perioada necesară actualizării.
ENISA semnalează că numeroase produse comerciale și cu sursă deschisă folosesc PHP în fundal, chiar dacă această dependență nu este vizibilă utilizatorilor. Agenția trimite organizațiile către inventarul operațional al centrului național de securitate cibernetică din Țările de Jos, NCSC-NL, pentru informații despre programe ale unor furnizori terți care pot include componenta vulnerabilă.
Inventarul NCSC-NL menționează că impactul poate depăși site-urile propriu-zise. PHP este integrat și în echipamente dedicate, dispozitive de rețea, interfețe de administrare și alte produse pentru care administratorul nu poate înlocui direct componenta. În aceste situații, centrul recomandă urmărirea și aplicarea actualizărilor furnizorului produsului. Imaginile software și mediile de execuție încorporate sunt incluse separat în verificările recomandate.
Depozitul operațional cuprinde informații despre identificare și măsuri de reducere a riscului, liste de produse cu dependențe PHP și instrumente pentru utilizarea acestor date. Autorii precizează că evidența nu este completă și continuă să fie extinsă. Prezența unei liste publice nu înlocuiește, în recomandările centrului, inventarierea aplicațiilor și identificarea versiunilor care funcționează efectiv în infrastructura fiecărei organizații.
Situația versiunilor mai vechi
PHP 8.1 și versiunile anterioare nu mai primesc actualizări obișnuite de la proiectul PHP. Unele distribuții și firme care oferă suport pe termen lung pot integra corecții în propriile pachete. Din cauza gravității acestor vulnerabilități, echipa PHP a furnizat și adaptări minimale ale corecțiilor la codul-sursă pentru ramurile 7.4, 8.0 și 8.1. Acestea sunt destinate celor care compilează programul sau nu au acces la un furnizor de suport.
NCSC-NL recomandă verificarea separată a pachetelor oferite de distribuții și a actualizărilor produselor care includ PHP. Centrul reia precizarea dezvoltatorilor că măsurile temporare de configurare nu sunt corecții complete. Informațiile sale operaționale reunesc avertizarea proiectului PHP, recomandările CERT-EU și comunicările echipelor naționale europene de răspuns la incidente, pentru urmărirea aceleiași perechi de vulnerabilități.