Критическая уязвимость в Apache Thrift PHP TServeServer: CVE-2026-94642 приводит к завершению всего процесса

В Apache Thrift — популярном фреймворке для разработки масштабируемых сервисов и кросс-языкового взаимодействия — выявлена уязвимость, затрагивающая PHP-привязку. Проблема получила идентификатор CVE-2026-94642 и оценку 8.7 по шкале CVSS, что соответствует высокому уровню критичности.

Подробности

Уязвимость затрагивает реализацию серверного класса `TSimpleServer` в PHP-биндингах Apache Thrift. Согласно описанию, при возникновении любого исключения, не связанного с транспортом (non-transport exception), сервер не перехватывает его корректно. В результате необработанное исключение приводит к завершению всего PHP-процесса, а не к изоляции ошибки в рамках обработки одного запроса или соединения. Под уязвимость попадают все версии Apache Thrift до 0.25.0. Продукт разрабатывается Apache Software Foundation и широко используется в микросервисной архитектуре, поэтому проблема актуальна для организаций, эксплуатирующих PHP-сервисы на базе этой библиотеки. С точки зрения воздействия, аварийное завершение процесса может привести к отказу в обслуживании (Denial of Service). Злоумышленник, способный инициировать исключительную ситуацию, не относящуюся к транспортному уровню, может вызвать остановку серверного процесса, что нарушит доступность сервиса. Учитывая высокую оценку CVSS 8.7, эксплуатация не требует значительной подготовки и может проводиться удалённо при наличии сетевого доступа к уязвимому сервису.

Что делать

Разработчики Apache Thrift выпустили исправление в версии 0.25.0. Рекомендуется как можно скорее обновить PHP-привязки до указанной версии. Официальная рекомендация проекта — перейти на Apache Thrift 0.25.0, в которой проблема устранена. Если немедленное обновление невозможно, следует рассмотреть временные меры: ограничить сетевой доступ к уязвимым PHP-сервисам на базе `TSimpleServer`, применять внешние средства защиты (WAF, балансировщики с контролем аномалий), а также внедрить автоматический перезапуск процессов и мониторинг их доступности. Однако эти меры являются компенсирующими и не заменяют установку патча. Также важно провести инвентаризацию зависимостей: Apache Thrift часто подключается транзитивно, поэтому стоит проверить не только прямые, но и косвенные зависимости PHP-проектов.

Итог

CVE-2026-94642 — серьёзная уязвимость в PHP-биндингах Apache Thrift, позволяющая вызвать отказ в обслуживании через необработанное исключение в `TSimpleServer`. Единственное надёжное решение — обновление до версии 0.25.0. Организациям, использующим PHP-сервисы на Apache Thrift, следует приоритизировать установку патча и проверить конфигурации на предмет минимизации поверхности атаки.

Источник: CVE Project (cvelistV5)