PHP2Shell — это семейство критических уязвимостей, недавно исправленных в ядре PHP, с уровнем опасности до CVSS 9,2. Они могут позволить атакующим без аутентификации выполнять код или раскрывать чувствительную память процессов. PHP работает примерно на 70% сайтов, включая такие платформы, как WordPress, Drupal и MediaWiki от Википедии.
Исследователи из Wiz Research, включая Sagi Tzadik, Shir Tamari, Nir Ohfeld и Tomer Schwartz, работали вместе с Open AI Codex Security (Amy Burnett) и другими над ответственным раскрытием информации. Уязвимости находятся в самом PHP, поэтому сайты могут быть затронуты, даже если их прикладной код безопасен. Для уязвимости достаточно простого приложения «Hello World», работающего на затронутой версии PHP. Сайты, использующие последние исправленные выпуски PHP, защищены. Команда PHP быстро отреагировала и тесно сотрудничала с исследователями над комплексными исправлениями.
Уязвимости делятся на два класса, которые отслеживаются под идентификаторами CVE-2026-109618 и CVE-2026-109619. Первый связан с повреждением памяти при её исчерпании, что может позволить выполнение кода без аутентификации от имени веб-процесса PHP. Второй связан с устаревшим глобальным состоянием между запросами, что может привести к использованию освобождённой памяти, раскрывающему память рабочего процесса или выполняющему код. Исследователи продемонстрировали удалённое выполнение кода до аутентификации против WordPress, Drupal и Joomla, используя их последние образы контейнеров на момент тестирования, а также показали раскрытие памяти, не зависящее от приложения.
Атакующие могли бы получить контроль над серверами, доступ к чувствительным данным или прочитать пароли, токены аутентификации, ключи API и сертификаты из других запросов. Раскрытие памяти может также похищать данные без предварительного получения выполнения кода, что делает активность труднее обнаружить. Единственное полное решение — установить исправленный выпуск PHP на каждой среде выполнения и перезапустить Apache, PHP-FPM и все долгоживущие рабочие процессы PHP. Обновление приложения не обновляет среду выполнения PHP, которая находится под ним.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing