PHP má dve kritické zero-day zraniteľnosti
Vývojári jazyka PHP pripravujú opravy dvoch kritických zraniteľností, ktoré umožňujú vzdialené vykonávanie príkazov na zraniteľnom serveri. Stručná informácia o zraniteľnostiach unikla na verejnosť pred vydaním opravných aktualizácií.
Zraniteľné systémy:
- PHP verzie 5 až 8
Opis činnosti:
CVE-2026-109618, CVE-2026-109619 (CVSS v4.0 skóre 9,2)
Kritické zraniteľnosti v jadre PHP, ktoré umožňujú pravdepodobne neautentifikovanému útočníkovi vzdialene vykonávať ľubovoľné príkazy na serveri.
Ďalšie informácie o zraniteľnostiach zatiaľ neboli zverejnené. Avšak vzhľadom na názov „php2shell“, ktorý im podľa spoločnosti Huntress dali výskumníci, je pravdepodobné že útočník môže zaslaním požiadavky na webstránku získať shell na zraniteľnom serveri.
Vývojári PHP informovali, že opravné aktualizácie vydajú 21.10. o 16:00 nášho času.
Možné škody:
- Vzdialené vykonávanie kódu
Odporúčania:
Bezodkladná aktualizácia aplikácií postavených na PHP, hneď ako vyjde opravná záplata.
Ako dočasnú mitigáciu zvážte zamedzenie prístupu z internetu ku týmto aplikáciám.
Odkazy: