Две критични дупки в PHP: кръпките излизат днес

Екипът по сигурността на PHP обяви на 20 октомври извънреден security release за днес, 21 октомври, в 14:00 UTC (17:00 българско време). Кръпките затварят две критични уязвимости — CVE-2026-109618 и CVE-2026-109619 — които php.net оценява с CVSS v4.0 9.2 всяка. И двете са дистанционно изпълнение на код (RCE) в ядрото на интерпретатора.

Съобщението е необичайно кратко: нито дума за техническите детайли, за засегнатите версии или за това кой е докладвал бъговете. Всичко това идва заедно с release-а. Единственото, което екипът добави, е резерва: „Запазваме си правото да пуснем по-рано, ако детайлите станат публични или се появят доказателства за активна експлоатация.“

Защо PHP изгуби контрол над графика

Първоначалният embargo беше за 22 октомври, 11:00 ET. Планът се счупи на 20 октомври около 15:20 UTC, когато потребител в Hacker News публикува тема от типа „Tell HN“ с твърдението, че предстои оповестяване на две RCE дупки в PHP с оценка CVSS 10.0.

Няколко часа по-късно изследователите от watchTowr потвърдиха, че става дума за реални бъгове: „Изтекла е информация относно zero-day уязвимости в PHP под embargo. Можем да потвърдим, че са истински“, написаха те, без да споделят повече. Фирмата поддържа и отделен FAQ по случая. Изпълнителният директор Бенджамин Харис е по-конкретен от официалното съобщение: според него и двете са CVSS 10.0 и засягат PHP 5, 6, 7 и 8.

Оттам идва и първото несъответствие, което си струва да задържите в главата: 9.2 е официалната оценка на PHP, а 10.0 е твърдение от изтеклата информация. Разликата не променя плана за действие, но променя тона на разговора с мениджъра.

Снимка: BleepingComputer

Кои версии получават кръпка

Поддържаните клонове в момента са 8.2, 8.3, 8.4 и 8.5, като последните издания са 8.5.11, 8.4.26, 8.3.35 и 8.2.34 от 24 септември. По-ранни анализи очакват днешните номера да бъдат 8.5.12, 8.4.27, 8.3.36 и 8.2.35, но PHP все още не е потвърдил това — приемете номерата като ориентир, не като факт.

Другата половина от картината е по-неприятна. Ако бъговете наистина стигат до PHP 5 и 7, тези клонове са извън поддръжка и няма да получат нищо. Същото важи за 8.0 и 8.1.

Според анализ на Mallory около 1,5 милиона хоста в интернет издават своята версия на PHP и 59% от тях — близо 884 000 машини — са на неподдържан клон:

• PHP 5.x: 368 570 хоста
• PHP 7.x: 329 358 хоста
• PHP 8.0–8.1: 185 789 хоста

Концентрацията по доставчици е предсказуема: Amazon с 293 480 инсталации, Hostinger със 142 401 и Alibaba Cloud с 81 078. По държави най-зле са Алжир (на практика 100% неподдържани версии при 31 306 хоста), Монголия с 97%, Бахрейн с 96% и Украйна с 85%.

Какво значи това за вашия сървър

PHP стои под WordPress, Drupal, Magento, Laravel и зад почти всеки shared hosting. RCE в ядрото на интерпретатора, достижим по пътя на обикновена заявка, е точно сценарият, в който една дупка се превръща в масова кампания — и миналата седмица видяхме как изглежда това на практика при отровения ъпдейт на Rank Math PRO.

Към момента няма публичен proof-of-concept и няма съобщения за експлоатация в реални условия. Това е прозорецът, с който разполагате, и той се затваря в часове, не в дни — точно както при критичния пропуск в KVM по-рано този месец.

Практическата последователност е проста:

# коя версия върти CLI и коя — web SAPI
php -v
php -i | grep -i 'Server API\|Loaded Configuration'

# какво има по пакетите (Debian/Ubuntu)
apt list --installed | grep -i php

1. Направете списък на всички хостове с версия и SAPI (mod_php, FPM, CLI) — не само на production машините.
2. Пуснете кръпките на поддържаните клонове в рамките на часове след 14:00 UTC, не в следващия maintenance прозорец.
3. За PHP 5, 7, 8.0 и 8.1 кръпка няма да има. Мигрирайте или изолирайте — WAF правило и ограничен достъп са временна мярка, не решение.
4. Проверете и контейнерните си образи: php:8.1-fpm в някой стар Dockerfile е същият проблем, само че по-трудно забележим.

Накратко

Два CVE-та, една дата, нулеви детайли — и близо 884 000 машини, за които кръпка просто няма да излезе. Ars Technica и BleepingComputer описват деня като извънредна ситуация за администраторите, и това е честно описание. Ако поддържате PHP инфраструктура, днешният следобед вече е зает.