PHP priprema hitne zakrpe za dva kritična RCE propusta
PHP je najavio vanredno bezbednosno izdanje za 21. oktobar u 14.00 UTC, koje treba da otkloni dva kritična propusta ocenjena sa 9,2 po skali CVSS v4.0. Istraživači kompanije watchTowr navode da oba propusta omogućavaju udaljeno izvršavanje koda, dok PHP u trenutku objave nije naveo tehničke detalje, pogođene verzije ni verzije sa ispravkama.
Zakrpe će moći da dobiju samo četiri podržane grane: PHP 8.2, 8.3, 8.4 i 8.5. Grane 8.2 i 8.3 primaju samo bezbednosne ispravke, dok su 8.4 i 8.5 u aktivnoj podršci. PHP 8.1, 8.0, 7.x i 5.x su van životnog ciklusa i za njih neće biti zvanične zakrpe ako se ispostavi da su obuhvaćene propustima.
Objava je ubrzana nakon curenja informacija
Informacija o propustima pojavila se 20. oktobra u objavi na HN-u, gde su pomenuta dva RCE problema, ocena 10,0 i identifikatori CVE-2026-109618 i CVE-2026-109619. Autor objave nije priložio dokaz. watchTowr je potom potvrdio da su informacije o postojanju propusta stvarne i da je objava prekršila embargo, ali nije izneo dodatne tehničke podatke.
PHP je istog dana objavio kraće obaveštenje i propuste ocenio sa 9,2, a ne sa 10,0. Organizacija nije navela CVE identifikatore iz curenja niti potvrdila tvrdnju da su pogođene sve verzije počev od PHP 5. Saopšteno je da će potpuni detalji, pogođene verzije i verzije sa ispravkama biti objavljeni uz izdanje.
Rizik za stare javno dostupne instalacije
Kompanija Mallory je 20. oktobra preko Shodana prebrojala približno 884.000 hostova dostupnih sa interneta čija HTTP zaglavlja prijavljuju PHP 8.1 ili stariji. To je 59% od približno 1,5 miliona hostova koji su prijavili bilo koju PHP verziju. Taj broj predstavlja prijavljene banere, a ne potvrđene ranjive sisteme; dodatnih oko 740.000 hostova prijavilo je PHP bez verzije.
Do izlaska zakrpa PHP nije objavio zaobilazno rešenje. Huntress je naveo da do 20. oktobra nije video eksploataciju u partnerskim okruženjima, nije reprodukovao dokaz koncepta i nije znao za javno dostupan eksploatacioni kod. watchTowr je 21. oktobra takođe naveo da nema prijavljene eksploatacije i da propusti nisu u CISA katalogu Known Exploited Vulnerabilities.
Koraci za operativne timove
Prioritet je popis svih PHP instalacija, uključujući PHP ugrađen u dobavljačke uređaje, Windows softver i kontrolne panele kao što su cPanel i Plesk. Timovi treba da pripreme nadogradnju za vreme objave, najpre na sistemima izloženim internetu, i da provere da li Linux distribucija ili hosting provajder isporučuje povratno prenete zakrpe.
Za sisteme na zastarelim granama, gde neposredna nadogradnja nije moguća, CERT-EU savetuje razmatranje izolovanja aplikacija dostupnih sa interneta od javnih mreža dok zakrpa ne postane dostupna. Praktične mere uključuju uklanjanje sistema sa interneta ili ograničavanje pristupa putem VPN-a odnosno veb aplikacionog zaštitnog zida.
Vredi pratiti procese koje pokreću php-fpm, php-cgi, httpd ili apache2, naročito kada pokreću komandne ljuske, interpretere ili alate za preuzimanje. Ako se uoči sumnjiva aktivnost, potrebno je izolovati server, sačuvati PHP i veb-server dnevnike, a zatim proveriti veb ljuske, nove datoteke u veb korenu, cron poslove, zakazane zadatke i naloge. Poslovni zaključak je da organizacije moraju najpre utvrditi gde koriste podržane i zastarele PHP grane, pa zakrpe i mrežnu izolaciju primeniti prema izloženosti sistema internetu.