Обнаружены критические уязвимости PHP

Национальная служба реагирования на компьютерные инциденты KZ-CERT предупредила о двух критических уязвимостях PHP — CVE-2026-109618 и CVE-2026-109619, известных как PHP2Shell.

Обе получили оценку 9,2 из 10 по шкале CVSS. При определённых условиях злоумышленники могут использовать их для удалённого выполнения кода на сервере без авторизации. Возможные последствия - утечка данных, изменение или удаление файлов, нарушение работы сайтов.

Уязвимости затрагивают как актуальные, так и устаревшие версии PHP без соответствующих исправлений. Под угрозой могут оказаться сайты на различных платформах, особенно WordPress, Drupal, Joomla и Magento.

Исправленные версии PHP

Разработчики PHP устранили уязвимости в следующих версиях:

PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12

Для PHP 8.1 и ниже официальные обновления от разработчиков PHP не выпускаются. Отдельные поставщики ПО предоставляют исправления и для этих версий, однако использование устаревшего PHP сохраняет дополнительные риски безопасности. Рекомендуется переход на актуальные версии.

Что рекомендует KZ-CERT

Проверить используемые версии PHP и установить исправления безопасности.
Убедиться, что обновления применены, а серверные процессы перезапущены.
Проверить серверы на отсутствие подозрительной активности.
В случае невозможности обновления, применить временные меры защиты или ограничить доступ к уязвимым сервисам.

Временные меры снижают риски, но не заменяют установку исправлений.

Подробные технические рекомендации опубликованы на сайте KZ-CERT по ссылке: https://cert.gov.kz/news/11/3361.

Рекомендуем настоятельно передать эти сведения администратору или разработчику вашего сайтов!

Все новости