Критични уязвимости поставиха сайтове по света в риск

Две критични уязвимости в PHP поставиха под риск интернет сайтове, онлайн магазини и правителствени приложения по света. Разработчиците на езика публикуваха извънредни поправки, след като стана ясно, че слабостите могат да позволят дистанционно изпълнение на код без предварително удостоверяване на потребителя.

Проблемите са обозначени като CVE-2026-109618 и CVE-2026-109619 и са оценени с 9,2 от 10 по системата CVSS v4.0. Според екипа на PHP те засягат всички инсталации, които обслужват уеб заявки, включително PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Рискът е оценен като най-висок при системите с Apache и mod_php, където атака може да бъде задействана от неавтентифицирана заявка, преди да се изпълни кодът на конкретното приложение.

„С незабавен ефект всички организации, използващи PHP в своите системи, се съветват да се подготвят за актуализация, която отстранява две критични уязвимости“, заяви Агенцията за национална сигурност на САЩ. Оттам препоръчаха системите, които не могат да бъдат обновени веднага, да бъдат изключени от мрежата, докато рискът бъде отстранен.

Публикувани са четири основни поправки

Коригираните версии са PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Екипът на PHP посочва, че инсталирането на актуализацията е единственото сигурно решение. Временните настройки могат да ограничат някои от пътищата за атака, но не правят системите напълно безопасни.

Потребителите на PHP 8.1 и по-стари версии са изправени пред допълнителен проблем, тъй като тези издания вече не получават официални актуализации от проекта. За някои от тях отделни дистрибуции и доставчици с дългосрочна поддръжка могат да предоставят обратно пренесени поправки. PHP 8.2 ще получава корекции до 31 декември 2026 г.

Сайтове бяха временно изключени

Заради риска отделни организации временно свалиха публично достъпни PHP системи. Сред тях са правителствени структури във Финландия, нидерландската агенция за киберсигурност и долната камара на парламента на Нидерландия. Временно недостъпни са били и сайтът на общинския съвет на Единбург, както и страници на няколко предавания на Би Би Си.

Фондация Wikimedia също съобщи, че работи по отстраняването на уязвимостите и е изключила част от системите си като предпазна мярка. Потенциално засегнати са и платформи, които използват PHP чрез хостинг услуги, системи за управление на съдържание или външни софтуерни продукти.

Уязвимостите са открити с помощта на изкуствен интелект

Проблемите са установени от изследователи на Calif и Wiz, които са работили с PHP Foundation в рамките на инициативата Patch the Planet. Според OpenAI Calif е открила едната слабост с помощта на модела GPT-5.6 Sol, докато Wiz независимо е установила и докладвала двете уязвимости.

OpenAI определи случая като един от най-сериозните проблеми със сигурността през последните години. Компанията посочи, че изкуственият интелект е позволил уязвимостите да бъдат открити преди нападатели да започнат да ги използват, но предупреди, че същите възможности могат да ускорят разработването на експлойти.

PHP се използва в голяма част от световните сайтове и е в основата на популярни платформи като WordPress, Drupal, Joomla и Magento. Именно широкото му разпространение превръща своевременното обновяване на сървърите и проверката на всички външни компоненти в основна задача за администраторите.

Източници: techcrunch.com