Распрацоўнікі PHP, мовы праграмаваньня, на якой працуюць шматлікія сайты і інтэрнэт-сэрвісы, 21 кастрычніка выпусьцілі тэрміновыя абнаўленьні супраць дзьвюх крытычных уразьлівасьцяў. Праблемы могуць дазволіць зламысьніку дыстанцыйна выканаць праграмны код на сэрвэры нават без уваходу ў сыстэму.
Уразьлівасьці атрымалі ідэнтыфікатары CVE-2026-109618 і CVE-2026-109619. Абедзьве зьвязаныя з памылкамі ў працы з памяцьцю. Паводле распрацоўнікаў PHP, асабліва высокая рызыка існуе для сэрвэраў з модулем mod_php, дзе пацьверджаны спосаб атакі яшчэ да запуску коду самога сайта.
Што трэба зрабіць уладальнікам сайтаў?
Каманда PHP рэкамэндуе неадкладна перайсьці на адну з выпраўленых вэрсіяў: 8.5.12, 8.4.27, 8.3.36 або 8.2.35. Адміністратарам сэрвэраў неабходна праверыць усталяваную вэрсію і наяўнасьць адпаведнага абнаўленьня ў свайго пастаўшчыка хостынгу.
PHP 8.1 і старэйшыя вэрсіі больш не атрымліваюць звычайных абнаўленьняў ад асноўнай каманды праекту. Частка пастаўшчыкоў працяглай падтрымкі можа прапанаваць выпраўленьні для старых сыстэмаў. Часовыя захады абароны не ліквідуюць рызыку цалкам.
Google Cloud пацьвердзіла, што ўразьлівасьці могуць закранаць сайты кліентаў, якія выкарыстоўваюць PHP, хоць сама плятформа Google Cloud, паводле кампаніі, не ўразьлівая. У выяўленьні і выпраўленьні праблем удзельнічалі дасьледнікі Wiz і іншыя спэцыялісты. OpenAI таксама паведаміла пра ўдзел сваіх дасьледнікаў у падрыхтоўцы выпраўленьняў і каардынацыі раскрыцьця зьвестак.
Для ўладальнікаў сайтаў на WordPress і іншых сыстэмах кіраваньня зьместам абнаўленьне саміх дадаткаў не замяняе абнаўленьня PHP на сэрвэры. Калі сэрвэр абслугоўвае хостынгавая кампанія, трэба праверыць у яе, ці ўжо ўсталяваныя выпраўленьні.
