PHP izstrādātāji paziņo par divu steidzamu drošības ielāpu izlaišanu
Programmēšanas valodas PHP uzturētāji brīdina, ka stundu laikā izlaidīs labojumus divām ļoti nopietnām ievainojamībām, kuru smaguma vērtējums ir 9,2 no 10. Tīmekļa vietņu administratoriem aicina sagatavoties atjaunināšanai.
PHP, programmēšanas valodas, uz kuras darbojas liela daļa tīmekļa vietņu un lietotņu, uzturētāji pirmdien paziņoja, ka nedaudz vairāk nekā 12 stundu laikā izlaidīs ielāpus divām drošības ievainojamībām. Abām ievainojamībām piešķirts smaguma vērtējums 9,2 no iespējamajiem 10.
“Visiem PHP lietotājiem ieteicams sagatavoties jau tagad, lai varētu atjaunināt uzreiz pēc izlaides,” teikts uzturētāju paziņojumā. Viņi arī atgādināja, ka patur tiesības ielāpus izlaist agrāk, ja kļūtu publiski zināmas ievainojamību detaļas vai parādītos pierādījumi par aktīvu izmantošanu reālos uzbrukumos.
Kas izraisīja paziņojumu
Uzturētāji paziņojumu publicēja pēc tam, kad tika nopludinātas it kā ar ievainojamībām saistītas detaļas. Šīs informācijas patiesums vēl nav apstiprināts. Nopludinātajā ziņojumā bija video ar ekspluatācijas rīku PHP2Shell, kas izpilda kodu tīmekļa serveros ar vairākām PHP balstītām sistēmām: WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal 11.4.10 un WHMCS 9.0.9.
Pašu nopludināto ziņojumu atrast neizdevās. Kā norādīja drošības uzņēmums watchTowr, tajā apgalvots, ka ievainojamības skar visas PHP versijas, sākot ar 2004. gadā izlaisto PHP 5.
Apstiprinājums
watchTowr arī paziņoja, ka ir pārliecinājies, ka abas ievainojamības ir reālas. Tās reģistrētas ar identifikatoriem CVE-2026-109618 un CVE-2026-109619.
