নিরাপত্তা গবেষকরা PHP ওয়েব রানটাইমকে প্রভাবিত করে এমন দুটি দুর্বলতা প্রকাশ করেছেন, যেগুলো CVE-2026-109618 এবং CVE-2026-109619 হিসেবে চিহ্নিত। একটি Hacker News পোস্টে এই সমস্যাগুলো তুলে ধরা হয়েছে, যেখানে CVE-2026-109619-এর জন্য একটি শনাক্তকরণ নিয়ম অন্তর্ভুক্ত রয়েছে।
প্রদত্ত নিয়মটি PHP2Shell নামের একটি ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (WAF) কনফিগারেশন। এটি একটি নির্দিষ্ট প্যাটার্নের সঙ্গে মেলে এমন অনুরোধ ব্লক করার জন্য ডিজাইন করা হয়েছে। নিয়মটি কেবল তখনই প্রযোজ্য হয় যখন HTTP মেথড POST হয় এবং কুকির কী-তে অথবা অনুরোধের বডিতে PHPSESSID মান দেখা যায়, অথবা বডিতে PHP_SESSION_UPLOAD_PROGRESS স্ট্রিং থাকে। এই সব শর্ত পূরণ হলে অনুরোধটি ব্লক করা হয় এবং কার্যকলাপটি PHP2Shell নামে CloudWatch মেট্রিকসে রেকর্ড করা হয়।
সেশন-সম্পর্কিত স্ট্রিং এবং আপলোড অগ্রগতির প্যারামিটারের সমন্বয় সেই অনুরোধের প্যাটার্নকে প্রতিফলিত করে, যা নিয়মটি লক্ষ্য করে এমন এক্সপ্লয়েট কৌশলের সঙ্গে সম্পর্কিত। PHP-এর সেশন আপলোড প্রগ্রেস ফিচার নির্দিষ্ট উপায়ে পরিচালিত হলে এভাবে অপব্যবহার করা যেতে পারে, এ কারণেই নিয়মটি কুকি এবং অনুরোধের বডি উভয়ই পরীক্ষা করে।
PHP-ভিত্তিক ওয়েব অ্যাপ্লিকেশন পরিচালনাকারীদের উভয় CVE শনাক্তকারীর সতর্কবার্তা পর্যালোচনা করার এবং প্রকাশিত নিয়মটিকে একটি ক্ষতিপূরক নিয়ন্ত্রণ হিসেবে স্থাপন বা পরীক্ষা করার কথা বিবেচনা করার পরামর্শ দেওয়া হচ্ছে। প্রভাবিত PHP রানটাইমের জন্য বিক্রেতার প্যাচ প্রয়োগ করা এখনও প্রাথমিক প্রস্তাবিত প্রতিকার।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing