FalcoSoft ITS
Well-Known Member
Сменяйте PHP версията с последния ъпдейт PHP 8.2.35 заради експлойт.
Аз вече я смених на всичките ми сървъри.
Екипът по сигурността на PHP заяви във вторник, че ще изпрати съобщение за сигурност в сряда, 21 октомври, за да коригира две критични уязвимости, след като информация за ембарговите недостатъци, проследени като CVE-2026-109618 и CVE-2026-109619, изтече онлайн.
Актуализиране: Официалните PHP съвети и корекции вече са пуснати — 8.5.12, 8.4.27, 8.3.36 и 8.2.35 коригират и двата недостатъка (CVSS v4.0 9.2). За потвърдените технически подробности, състояние на PoC и смекчаване, вижте нашето пълно покритие: PHP2Shell: Критичните PHP недостатъци позволяват отдалечено изпълнение на код. Докладът по-долу документира как се е развил течът.
В предварително известие в php.net екипът каза, че пускането е насрочено за 14:00 UTC, което е 10:00 сутринта. ET и 19:30 IST. Той оцени и двете уязвимости с 9,2 под CVSS v4.0 и призова всички потребители на PHP да се подготвят сега, за да могат да надстроят веднага щом компилациите са налични. Фондацията PHP сподели същото известие на X.
Екипът на PHP каза, че пълните подробности, засегнатите версии и фиксираните версии ще бъдат публикувани с изданието. Той също така каза, че може да изпрати по-рано, ако подробностите за някой от недостатъците станат публични или ако се появят доказателства за активна експлоатация.
Сряда е ден по-рано от датата, на която изследователите под ембарго са работили. Охранителната фирма WatchTowr каза, че всички е трябвало да изчакат до четвъртък в 11:00 сутринта. ET и първият публичен доклад за изтичането посочи 22 октомври.
Този доклад дойде в a “Кажете на HN” публикация на Хакерски новини в 15:20 UTC на 20 октомври. Позовавайки се на “надежден източник”, потребителят petecooper написа, че два недостатъка при отдалечено изпълнение на код на PHP, оценени като CVSS 10.0, се дължат на разкриване, засягайки всички версии на PHP от PHP 5 нататък. Плакатът призна, че няма доказателства и по-късно публикацията беше маркирана, но екранни снимки вече циркулираха в X и Mastodon.
След това WatchTowr потвърди изтичането, като каза, че информацията се отнася до уязвимости на RCE в нулев ден в PHP. “Можем да потвърдим, че те са реални, каза компанията, добавяйки, че не може да споделя повече и призовава администраторите да коригират, след като корекциите излязат.
Изследовател по сигурността Флориан Рот написа на X, че дефектът е RCE в ядрото на PHP и че само PHP 8 ще получи корекции. PHP 5 и PHP 7 достигнаха края на живота си преди години, така че сървърите, които все още ги изпълняват, ще останат изложени без официална корекция. Николас Красас каза, че ще публикува практическа лаборатория, след като ембаргото се вдигне, и Кевин Бомонт маркира теча на Мастодон.
Официалната тежест се различава от изтичането. PHP оценява и двете грешки 9.2 под CVSS v4.0, докато изтеклите публикации цитират 10.0 и не казват коя версия на системата за точкуване са използвали. PHP известието не назовава CVE ID или описва грешките като недостатъци при изпълнение на код; тези подробности идват от watchTowr и изтеклите отчети.
Не са оповестени технически подробности. И двете CVE-2026-109618 и CVE-2026-109619 останете в запазено състояние и нито една от публикациите не идентифицира засегнатата функция, разширение или конфигурация. В ан ЧЗВ за недостатъците, watchTowr каза, че не е виждал експлоатация в дивата природа, че грешките не са в каталога на CISA за известни експлоатирани уязвимости и не съществува заобиколно решение преди корекцията.
Ембаргото е частен прозорец, по време на който доставчикът координира корекциите с Linux дистрибуции, хостинг доставчици и фирми за сигурност, така че patched се доставя в същия момент като консултативния. След като тежестта и датата изтекоха, всеки, който вече държеше буболечките, знаеше колко време са имали, преди да се приземят корекциите.
PHP захранва WordPress, Drupal, Magento и повечето споделени хостове и много собственици на сайтове разчитат на своя хостинг доставчик, за да внедрят нови PHP компилации. Администраторите могат да проверят коя версия на PHP работи всеки сървър преди 14:00 UTC, да подредят надстройката и да планират да преместят всичко, което все още е на PHP 5 или 7, към поддържан клон на PHP 8. Най-новите версии за сигурност на PHP, 8.5.11, 8.4.26, 8.3.35 и 8.2.34, бяха изпратени на 24 септември.
PHP захранва WordPress, Drupal, Magento и повечето споделени хостове, така че основен недостатък, който може да се използва дистанционно без удостоверяване, достига много голям дял от мрежата. Много собственици на сайтове зависят от техния хостинг доставчик, за да пуснат нови PHP компилации. Администраторите могат да проверят коя версия на PHP работи всеки сървър сега, да планират да преместят всичко, което все още е на PHP 5 или 7, към поддържан клон на PHP 8 и да бъдат готови за корекция в четвъртък.
www.cyberkendra.com
Аз вече я смених на всичките ми сървъри.
PHP RCE Zero-Days CVE-2026-109618, CVE-2026-109619 Теч рано
PHP ще изпрати корекции за два изтекли критични недостатъка с оценка CVSS v4.0 9.2 на 21 октомври в 14:00 UTC, ден преди ембаргото да бъде премахнато.Екипът по сигурността на PHP заяви във вторник, че ще изпрати съобщение за сигурност в сряда, 21 октомври, за да коригира две критични уязвимости, след като информация за ембарговите недостатъци, проследени като CVE-2026-109618 и CVE-2026-109619, изтече онлайн.
Актуализиране: Официалните PHP съвети и корекции вече са пуснати — 8.5.12, 8.4.27, 8.3.36 и 8.2.35 коригират и двата недостатъка (CVSS v4.0 9.2). За потвърдените технически подробности, състояние на PoC и смекчаване, вижте нашето пълно покритие: PHP2Shell: Критичните PHP недостатъци позволяват отдалечено изпълнение на код. Докладът по-долу документира как се е развил течът.
В предварително известие в php.net екипът каза, че пускането е насрочено за 14:00 UTC, което е 10:00 сутринта. ET и 19:30 IST. Той оцени и двете уязвимости с 9,2 под CVSS v4.0 и призова всички потребители на PHP да се подготвят сега, за да могат да надстроят веднага щом компилациите са налични. Фондацията PHP сподели същото известие на X.
Екипът на PHP каза, че пълните подробности, засегнатите версии и фиксираните версии ще бъдат публикувани с изданието. Той също така каза, че може да изпрати по-рано, ако подробностите за някой от недостатъците станат публични или ако се появят доказателства за активна експлоатация.
Сряда е ден по-рано от датата, на която изследователите под ембарго са работили. Охранителната фирма WatchTowr каза, че всички е трябвало да изчакат до четвъртък в 11:00 сутринта. ET и първият публичен доклад за изтичането посочи 22 октомври.
Този доклад дойде в a “Кажете на HN” публикация на Хакерски новини в 15:20 UTC на 20 октомври. Позовавайки се на “надежден източник”, потребителят petecooper написа, че два недостатъка при отдалечено изпълнение на код на PHP, оценени като CVSS 10.0, се дължат на разкриване, засягайки всички версии на PHP от PHP 5 нататък. Плакатът призна, че няма доказателства и по-късно публикацията беше маркирана, но екранни снимки вече циркулираха в X и Mastodon.
След това WatchTowr потвърди изтичането, като каза, че информацията се отнася до уязвимости на RCE в нулев ден в PHP. “Можем да потвърдим, че те са реални, каза компанията, добавяйки, че не може да споделя повече и призовава администраторите да коригират, след като корекциите излязат.
Изследовател по сигурността Флориан Рот написа на X, че дефектът е RCE в ядрото на PHP и че само PHP 8 ще получи корекции. PHP 5 и PHP 7 достигнаха края на живота си преди години, така че сървърите, които все още ги изпълняват, ще останат изложени без официална корекция. Николас Красас каза, че ще публикува практическа лаборатория, след като ембаргото се вдигне, и Кевин Бомонт маркира теча на Мастодон.
Официалната тежест се различава от изтичането. PHP оценява и двете грешки 9.2 под CVSS v4.0, докато изтеклите публикации цитират 10.0 и не казват коя версия на системата за точкуване са използвали. PHP известието не назовава CVE ID или описва грешките като недостатъци при изпълнение на код; тези подробности идват от watchTowr и изтеклите отчети.
Не са оповестени технически подробности. И двете CVE-2026-109618 и CVE-2026-109619 останете в запазено състояние и нито една от публикациите не идентифицира засегнатата функция, разширение или конфигурация. В ан ЧЗВ за недостатъците, watchTowr каза, че не е виждал експлоатация в дивата природа, че грешките не са в каталога на CISA за известни експлоатирани уязвимости и не съществува заобиколно решение преди корекцията.
Ембаргото е частен прозорец, по време на който доставчикът координира корекциите с Linux дистрибуции, хостинг доставчици и фирми за сигурност, така че patched се доставя в същия момент като консултативния. След като тежестта и датата изтекоха, всеки, който вече държеше буболечките, знаеше колко време са имали, преди да се приземят корекциите.
PHP захранва WordPress, Drupal, Magento и повечето споделени хостове и много собственици на сайтове разчитат на своя хостинг доставчик, за да внедрят нови PHP компилации. Администраторите могат да проверят коя версия на PHP работи всеки сървър преди 14:00 UTC, да подредят надстройката и да планират да преместят всичко, което все още е на PHP 5 или 7, към поддържан клон на PHP 8. Най-новите версии за сигурност на PHP, 8.5.11, 8.4.26, 8.3.35 и 8.2.34, бяха изпратени на 24 септември.
PHP захранва WordPress, Drupal, Magento и повечето споделени хостове, така че основен недостатък, който може да се използва дистанционно без удостоверяване, достига много голям дял от мрежата. Много собственици на сайтове зависят от техния хостинг доставчик, за да пуснат нови PHP компилации. Администраторите могат да проверят коя версия на PHP работи всеки сървър сега, да планират да преместят всичко, което все още е на PHP 5 или 7, към поддържан клон на PHP 8 и да бъдат готови за корекция в четвъртък.
PHP RCE Zero-Days CVE-2026-109618, CVE-2026-109619 Leak Early - Cyber Kendra
CVE-2026-109618 and CVE-2026-109619: PHP will patch leaked critical flaws on October 21 at 14:00 UTC. Both are rated CVSS v4.0 9.2.
www.cyberkendra.com
