Исследователи безопасности раскрыли две уязвимости, затрагивающие веб-среды выполнения PHP, которые отслеживаются под идентификаторами CVE-2026-109618 и CVE-2026-109619. Эти проблемы были освещены в публикации на Hacker News, которая содержит правило обнаружения для CVE-2026-109619.
Приведённое правило представляет собой конфигурацию брандмауэра веб-приложений (WAF) под названием PHP2Shell. Оно предназначено для блокировки запросов, соответствующих определённому шаблону. Правило применяется только тогда, когда метод HTTP — POST и когда либо значение PHPSESSID появляется в ключах cookie или в теле запроса, либо тело содержит строку PHP_SESSION_UPLOAD_PROGRESS. Если все эти условия выполнены, запрос блокируется, а активность фиксируется в метриках CloudWatch под названием PHP2Shell.
Сочетание строк, связанных с сеансами, и параметров прогресса загрузки отражает шаблон запросов, характерный для техники эксплуатации, на которую нацелено правило. Функция отслеживания прогресса загрузки сеанса в PHP при определённой обработке может быть использована таким образом, поэтому правило проверяет как cookie, так и тело запроса.
Администраторам веб-приложений на основе PHP рекомендуется ознакомиться с бюллетенями безопасности по обоим идентификаторам CVE и рассмотреть развёртывание или тестирование опубликованного правила в качестве компенсирующей меры. Основной рекомендованной мерой по-прежнему остаётся установка исправлений от поставщиков для затронутых сред выполнения PHP.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing