Екипът по сигурността на PHP планира да публикува извънредни актуализации на 21 октомври след съобщения, че информация за две критични уязвимости за отдалечено изпълнение на код е изтекла преди официалното им разкриване. Междувременно Cloudflare съобщава за ранни атаки и въведе временни защити във WAF системата си.
PHP е широко използван език за програмиране, върху който работят множество уебсайтове и приложения, включително системи за управление на съдържанието, онлайн магазини и персонализирани уеб услуги. Поради широкото му разпространение критичните уязвимости в платформата могат да изложат на риск голям брой интернет услуги.
В официално съобщение от 20 октомври екипът на PHP обяви, че планира да публикува корекции на 21 октомври в 14:00 UTC, или 17:00 ч. българско време. Всяка от двете уязвимости е оценена с 9,2 по CVSS v4.0. Разработчиците предупредиха, че могат да публикуват актуализациите и по-рано, ако информация за уязвимостите стане публична или бъдат установени активни атаки.
Съобщава се за уязвимости за отдалечено изпълнение на код
Изследователи от компанията watchTowr съобщиха, че уязвимостите са идентифицирани като CVE-2026-109618 и CVE-2026-109619 и според тях засягат версии на PHP от 5 до 8. Те ги описват като уязвимости за отдалечено изпълнение на код (RCE).
Според watchTowr информацията е изтекла преди първоначално планираното разкриване на 22 октомври. Компанията заяви, че е успяла да възпроизведе CVE-2026-109618, но няма да публикува технически подробности, преди да станат налични официалните корекции.
Има важно разминаване в оценките за тежестта. WatchTowr и публикация в Hacker News, която впоследствие е била изтрита, посочват оценка 10,0. Официалното съобщение на PHP обаче определя оценка 9,2 по CVSS v4.0 за всяка от уязвимостите. Докато не бъдат публикувани техническите данни, не може независимо да се потвърди обхватът на засегнатите версии и конкретните условия за експлоатация.
Cloudflare въвежда временни WAF защити
На 21 октомври Cloudflare обяви извънредно обновяване на управлявания си набор от правила за защитна стена на уеб приложения (WAF). Според техническия директор на компанията Дейн Кнехт първоначалните правила са внедрени и са достъпни за всички клиенти, включително тези с безплатни планове.
Кнехт предупреди и за наблюдавани ранни атаки, като компанията продължава да актуализира защитите при появата на нови методи за експлоатация. В публичните съобщения изследователи започнаха да наричат уязвимостите „PHP2SHELL“.
Защитите на Cloudflare обаче не заменят официалните актуализации. Те са временна мярка на ниво WAF и не гарантират, че всички варианти на експлоатация ще бъдат блокирани.
Препоръки към администраторите
Сред обсъжданите временни мерки са изключване на функцията за проследяване на напредъка при качване на файлове в PHP сесии и блокиране на HTTP заявки с тип съдържание multipart/form-data. Изследователите изрично отбелязват, че тези подходи не са потвърдени като надеждна защита срещу уязвимостите.
За изключване на функцията може да се добави следната директива в конфигурационния файл php.ini, след което да се рестартира съответната уеб услуга:
session.upload_progress.enabled = OffБлокирането на multipart/form-data може сериозно да наруши работата на сайтовете, като попречи на изпращането на формуляри и качването на файлове. Освен това PHP разработчикът Джина Питър Баниард предупреди, че няма известни обходни мерки, които да решават проблема, и че официалните корекции са единственото решение.
Администраторите следва да следят съобщенията на PHP и да инсталират съответните актуализации веднага след публикуването им. До тогава правилата на WAF и останалите предложени мерки трябва да се разглеждат единствено като временни защити, а не като заместител на поправянето на уязвимия софтуер.
