PHP programmatūrā konstatētas divas kritiskas drošības ievainojamības, par kurām PHP Foundation plāno oficiāli paziņot šodien, 21. oktobrī, plkst. 17:00 pēc Latvijas laika. Ievainojamības reģistrētas ar identifikatoriem CVE-2026-109618 un CVE-2026-109619, un tām piešķirts CVSS vērtējums 9,2, kas norāda uz ļoti augstu riska līmeni.
Abas ievainojamības ļauj attālināti izpildīt patvaļīgu kodu (RCE), proti, uzbrucējs bez autentifikācijas var pārņemt vadību pār mērķa sistēmu. Pēc publiski pieejamās informācijas tās ietekmē visas PHP versijas, sākot no PHP 5 un jaunākas. Tik plašs skarto versiju diapazons nozīmē, ka risks attiecas uz ļoti daudziem tīmekļa serveriem un lietotnēm visā pasaulē.
Šobrīd tehniskās detaļas vēl nav publiskotas — PHP drošības komanda un CERT-EU norāda, ka sīkāka informācija būs pieejama tikai pēc oficiālā paziņojuma publicēšanas. Tomēr CVSS vērtējums 9,2 kopā ar iespējamo attālināto koda izpildi liecina, ka ievainojamības potenciāli var izmantot automatizēti un plašā mērogā. CERT-EU jau tagad aicina organizācijas apzināt PHP bāzētās sistēmas un sagatavoties steidzamai ielāpu uzstādīšanai, tiklīdz tie būs pieejami.
Ieteicams nekavējoties sekot līdzi oficiālajiem PHP paziņojumiem un, tiklīdz būs pieejamas labotās versijas, tās uzstādīt bez kavēšanās. Ja tūlītēja ielāpu uzstādīšana nav iespējama, jāapsver no interneta pieejamo PHP lietotņu izolēšana no publiskajiem tīkliem līdz brīdim, kad labojumi būs uzstādīti. Tāpat ieteicams pārskatīt serveru un lietotņu drošības uzraudzību, lai ātri pamanītu aizdomīgu aktivitāti un reaģētu uz to.
Ņemot vērā PHP plašo izplatību tīmekļa vidē, šis paziņojums skar ievērojamu daļu interneta infrastruktūras. Sistēmu administratoriem un izstrādātājiem jābūt gataviem rīkoties ātri, tiklīdz parādīsies oficiālie labojumi, lai novērstu iespējamās drošības sekas un pasargātu savas sistēmas.
Avots: cert.lv raksts · X ieraksts
