Vulnerabilități PHP2Shell Amenințarea infrastructurii web globale

Cum funcționează exploitarea și de ce contează

O pereche de defecte critice PHP, denumite PHP2 Shell, au fost dezvăluite public înainte de fereastra de dezvăluire coordonată planificată. Aceste vulnerabilități, identificate ca CVE‐2026‐109618 și CVE‐2026‐109619, au un scor CVSS de 9,2 și ar putea permite atacatorilor să execute cod arbitrar fără autentificare.

PHP a anunțat că patch-urile oficiale vor fi lansate pe 21 octombrie 2026 la 14:00 UTC, îndemnând administratorii de sistem să se pregătească pentru actualizare. Exploatarea nu necesită interacțiune cu utilizatorii; o cerere elaborată poate declanșa o executare de cod la distanță care trece prin toate verificările de autentificare.

Bug-urile provin din manipularea incorectă a funcțiilor interne ale PHP , care pot fi abuzate pentru a suprascrie memoria și a obține controlul asupra procesului. Cercetătorii de securitate au avertizat că vulnerabilitatea ar putea fi utilizată pentru a instala backdoors, exfiltra datele sau pentru a se îndrepta către alte sisteme din aceeași rețea.

Cetina de atac începe cu o cerere HTTP special creată care vizează funcția de string vulnerabilă.

Când PHP prelucrează cererea, nu poate valida lungimea intrării, permițând unui atacator să depășească un buffer și să injecteze cod rău intenționat. Sarcina injectabilă funcționează cu privilegiile serverului web, oferind atacatorului controlul total asupra mașinii afectate.

Deoarece defectele sunt prezente în toate versiunile recente ale PHP, impactul potențial este vast, acoperind milioane de site-uri, API-uri și servicii cloud care se bazează pe PHP pentru logica din partea serverului.

Echipele de securitate au remarcat că fereastra de exploatare este larg deschisă. Curgerea publică a detaliilor vulnerabilităților înseamnă că atacatorii pot începe imediat să dezvolte și să testeze exploitele. Deși nu au fost raportate încă atacuri la scară largă, data dezvăluirii - cu doar câteva zile înainte de apariția oficială - ridică îngrijorările cu privire la posibilitatea unui val de atac coordonat.

Întrebări frecvente

Organizațiile care execută aplicații PHP sunt îndemnate să-și auditeze codul, să dezactiveze extensiunile inutile și să aplice parchetul viitor de îndată ce devine disponibil. Ce pot face administratorii acum Echipa de securitate PHP recomandă o abordare de apărare în straturi.

În primul rând, actualizați toate instalațiile PHP la ultimul patch odată ce este eliberat.

Între timp, administratorii pot atenua riscul prin dezactivarea funcțiilor vulnerabile ale știrei prin configurația php. ini sau prin stabilirea directivei `disable_functions` pentru a bloca `str_replace` și apelurile conexe.

În plus, instrumentele de monitorizare ar trebui configurate pentru a detecta modele anomale de trafic care pot indica încercări de exploatare. În cele din urmă, efectuarea unui test de penetrare rapidă împotriva punctelor finale expuse poate ajuta la verificarea eficacității reducerilor.

Vulnerabilitatea va afecta toate implementările PHP Nu toate setările PHP sunt expuși la fel. Sistemele care rula versiuni PHP mai vechi, nesuportate, sunt deja în afara domeniului de aplicare al patch-ului, dar rămân vulnerabile.

În schimb, mediile care și-au întărit configurațiile PHP - cum ar fi cele care funcționează în containere izolate sau folosind Firewalls Web Application - pot experimenta o suprafață de atac redusă.

Cu toate acestea, problema centrală se află în interpretul PHP în sine, ceea ce înseamnă că orice implementare care se bazează pe baza de cod afectată este în pericol până când patch-ul este aplicat.