В PHP — технологии, на которой работают сайты, интернет-магазины и клиентские порталы, — обнаружены две критические уязвимости, позволяющие выполнять код на сервере без авторизации. Разработчики 21 октября выпустили экстренные исправления. В Латвии на время обновления систем решили выборочно ограничить доступ из-за рубежа к нескольким государственным цифровым ресурсам.
Уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку опасности 9,2 из 10. Первая связана с ошибками обработки нехватки памяти, вторая — с использованием внутренних данных запроса после освобождения занятой ими памяти. Обе могут привести к удалённому выполнению вредоносного кода. CERT-EU сообщает, что технические подробности и первые демонстрационные эксплойты уже распространяются публично.
Под угрозой находятся установки PHP, обслуживающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольшим разработчики считают риск для mod_php: продемонстрирована атака, которую можно запустить одним запросом без авторизации, ещё до выполнения кода самого сайта.
Исправления доступны в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для старых веток следует проверить наличие исправленных пакетов у поставщика Linux или перейти на поддерживаемую версию. Обновления самой системы управления сайтом недостаточно: исправления нужны серверной среде PHP. Команда проекта подчёркивает:
«Полноценных временных мер защиты нет; обновление — единственный безопасный вариант».
В Латвии ограничения доступа из-за рубежа могут сохраняться до понедельника, 26 октября, в зависимости от хода установки обновлений. По сообщению CERT.LV, пользователей внутри страны они, как ожидается, не затронут. На момент заявления сведений о компрометации латвийских информационных систем через эти бреши не было.
Государственные учреждения и частные компании призывают незамедлительно проверить используемые версии PHP и установить исправления. Если обновить публичный сервис сразу невозможно, CERT-EU рекомендует временно изолировать его от интернета до установки и проверки исправлений.
Предупреждение разработчиков PHP · Технический бюллетень CERT-EU · Сообщение CERT.LV
#новости #кибербезопасность #PHP #Латвия
@digitaltimeslv
Original in Telegram: https://t.me/digitaltimeslv/11070