Svetainių administratoriai, ruoškitės. Po kiek daugiau nei 12 valandų turėtų pasirodyti pataisos, skirtos neįprastai pavojingomis laikomoms PHP pažeidžiamumoms šalinti. PHP yra programavimo kalba, kuria veikia svetainės ir žiniatinklio programos visame pasaulyje.
PHP prižiūrėtojai pirmadienį pranešė, kad planuoja išleisti pataisas dviem pažeidžiamumams, kurių pavojingumas įvertintas 9,2 balo iš 10 galimų.
Paaiškinimas: PHP yra atvirojo kodo programavimo kalba, kuria veikia daugybė svetainių ir turinio valdymo sistemų. Todėl joje aptiktos spragos gali paveikti labai daug skirtingų svetainių vienu metu.
Laukiant PHP2Shell
„Visi PHP naudotojai raginami pasiruošti jau dabar, kad galėtų atnaujinti iškart, kai tik bus išleista versija“, – teigiama pranešime. – „Pasiliekame teisę išleisti anksčiau, jei kurio nors pažeidžiamumo detalės taptų viešos arba atsirastų aktyvaus išnaudojimo realioje aplinkoje įrodymų.“
Prižiūrėtojai pranešimą paskelbė po to, kai nutekėjo tariamos detalės, kurios dar nepatvirtintos. Nutekėjusioje ataskaitoje parodytas vaizdo įrašas, kuriame išnaudojimo įrankis, pramintas PHP2Shell, vykdo kodą žiniatinklio serveriuose, kuriuose veikia WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal 11.4.10 ir WHMCS 9.0.9 – visos šios sistemos naudoja PHP. Vaizdo įrašas, kuriame rodomas įrankis, vėl paskelbtas čia.
Nepavyko rasti nepatvirtintos ataskaitos, tačiau saugumo bendrovė watchTowr pranešė, kad joje teigiama, jog pažeidžiamumai paveikia visas PHP versijas nuo 2004 m. išleistos PHP 5 ir naujesnes. Bendrovė pridūrė patvirtinusi, kad pažeidžiamumai, sekami kaip CVE-2026-109618 ir CVE-2026-109619, yra tikri.
Kitos saugumo bendrovės Sansec tyrėjai teigė „tikintys, kad masinės atakos prprasidės per 15 minučių nuo versijos išleidimo“. Trečioji saugumo bendrovė „Webfence“ taip pat paragino administratorius ruoštis jau dabar. Huntress taip pat paskelbė pranešimą.
Pasirengimo veiksmai apima: nustatyti, kas organizacijoje atsakingas už PHP valdymą, sudaryti visų šia kalba sukurtų programų sąrašą, suplanuoti techninės priežiūros langą, prasidedantį 14:00 UTC, numatant atsarginius planus, jei pataisos pasirodytų anksčiau, sukurti svetainės ir duomenų bazės failų atsargines kopijas bei stebėti PHP.net pagrindinį puslapį, ar nėra paskutinės minutės pranešimų, įskaitant apie ankstesnį išleidimo laiką. Kai kurie ekspertai siūlo atjungti visas nebūtinas sistemas, kol jos nebus pataisytos.
PHP – atvirojo kodo scenarijų kalba dinamiškoms svetainėms ir žiniatinklio programoms kurti – tapo faktine žiniatinklio statybine detale. Ja veikia ne tik WordPress, bet ir daugelis kitų turinio valdymo sistemų (CMS), taip pat daug vidinių įrankių. Vienas saugumo tyrėjas teigė, kad tikėtina, jog paveikta apie 1,3 mln. prie interneto prijungtų kompiuterių. Tokio pavojingumo, kokį aprašo pranešimai, pažeidžiamumai gali padaryti didelę žalą visame internete. Administratoriai turėtų žinoti, kad pataisos gali būti išleistos bet kuriuo metu, ir budėti, kol jos pasirodys.
