הפוסט הקודם שלנו על PHP2Shell תיאר את הפגיעויות לפני שהתיקון יצא. עכשיו התיקונים זמינים, ויש דיווחים על ניסיונות ניצול. זה הזמן לעדכן.
הפרטים
שתי הפגיעויות, CVE-2026-109618 ו-CVE-2026-109619, מדורגות 9.2 ב-CVSS v4.0 ומאפשרות הרצת קוד ללא אימות וקריאת זיכרון של תהליכי PHP. הן משפיעות על התקנות שמגישות בקשות רשת, בהן PHP-FPM, mod_php ו-FrankenPHP; mod_php נחשב לסיכון הגבוה ביותר. Cloudflare דיווחה על ניסיונות תקיפה מוקדמים, ו-watchTowr דיווחה על ניסיונות ניצול פעילים. אין אישור לפריצה מוצלחת לשרת מסוים, והפגיעויות לא נכללו בקטלוג KEV של CISA בעת הדיווח.
נקודות לשים לב
- עדכן לגרסה 8.5.12, 8.4.27, 8.3.36 או 8.2.35. גרסאות 8.1 ומטה כבר אינן נתמכות רשמית, ויש עבורן backports במקור בלבד.
- חבילות הפצה עשויות להכיל את התיקון תחת מספר גרסה ישן. בדוק ב-changelog אם מופיעים שני מזהי ה-CVE.
- אם אי אפשר לעדכן מיד: הגדר
session.upload_progress.enabled=0והפעל מחדש את ה-workers, והגבל גודל בקשות בשרת או ב-proxy. אלה הקלות חלקיות בלבד, ורק עדכון סוגר את הפער. - חפש בלוגים בקשות multipart חריגות שאחריהן שגיאות מגבלת זיכרון או HTTP 500 חוזרים, ערכי
PHPSESSIDגדולים באופן חריג והפעלות מחדש לא מוסברות של workers. - התיקון מוסיף מגבלת זיכרון קשיחה שמסיימת את התהליך כשהיא מתמלאת. אחרי העדכון בדוק את הגדרות הזיכרון ביישומים כבדים.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
