PHP2Shell: две неисправленные критические RCE-уязвимости в PHP (CVSS 9.2) вызвали экстренное оповещение
Команда безопасности PHP объявила о внеплановом выпуске обновлений 21 октября в 14:00 UTC для двух критических уязвимостей, оценённых в 9.2 по шкале CVSS v4.0. Уязвимости, получившие общее название PHP2Shell, позволяют удалённое выполнение кода (RCE) и на момент публикации остаются неисправленными — детали раскроют одновременно с релизом. Проблема затрагивает все организации и разработчиков, использующих PHP в продуктовой среде.
Подробности
Обе уязвимости относятся к классу RCE — удалённого выполнения кода, что делает их особенно опасными: успешная эксплуатация потенциально позволяет атакующему выполнить произвольный код на уязвимом сервере. Оценка 9.2 по CVSS v4.0 соответствует критическому уровню. Официальное описание уязвимостей на момент написания исходной статьи отсутствовало: команда PHP намеренно не раскрывала детали до выхода релиза, чтобы снизить риск эксплуатации до появления патчей. Точный перечень затронутых и исправленных версий должен быть подтверждён официальным бюллетенем безопасности, публикуемым одновременно с релизом; до этого момента делать выводы о конкретных версиях преждевременно.Что делать
В первую очередь необходимо отслеживать выход официального бюллетеня безопасности PHP и незамедлительно установить обновления сразу после их публикации — внеплановый характер релиза и оценка 9.2 не оставляют пространства для откладывания патча. До установки исправлений рекомендуется минимизировать поверхность атаки: ограничить сетевой доступ к сервисам на PHP, где это возможно, усилить мониторинг журналов на предмет подозрительной активности и аномальных запросов. Следует также проверить, какие версии PHP используются в продуктовой среде и в зависимых компонентах, чтобы после выхода патча действовать без задержек. Организациям с публично доступными PHP-приложениями стоит заранее подготовить план экстренного обновления. Итог: ситуация остаётся развивающейся, и окончательные выводы о масштабе проблемы можно будет сделать только после публикации официального бюллетеня. Ключевое действие для защитных команд — быть готовыми к немедленному патчингу в момент выхода релиза.Источник: The Hacker News