Fil-qosor: CVE-2026-109619 hija t-tieni vulnerabbiltà wara PHP2Shell. Stat intern li jappartjeni għal talba jista' jibqa' wara li titneħħa l-memorja; talba aktar tard fl-istess worker tista' tużah qabel ma jiġi rrisettjat. Il-konsegwenza hija eżekuzzjoni ta' kodiċi mingħajr login. Rimedju: aġġornament għal PHP 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 u restart tal-workers kollha.
X'inhi CVE-2026-109619?
CVE-2026-109619 (identifikatur GitHub GHSA-6wmf-4rv5-p3rp) għandha klassifikazzjoni CVSS v4.0 ta' 9,2. Flimkien ma' CVE-2026-109618 tifforma PHP2Shell. Iż-żewġ vulnerabbiltajiet jinsabu f'PHP innifsu u mhux f'applikazzjoni.
L-effett huwa l-istess bħal fil-vulnerabbiltà oħt: attakkant jista' mill-bogħod, mingħajr password u mingħajr kont ta' utent, jesegwixxi kodiċi fuq is-server. Il-kawża, madankollu, hija differenti.
Għaliex stat skadut fil-worker huwa perikoluż
Server tal-web tal-PHP ma jibdix proċess ġdid għal kull talba. B'PHP-FPM, Apache b'mod_php, LiteSpeed jew FrankenPHP, worker wieħed jipproċessa ħafna talbiet wara xulxin. Bejn żewġ talbiet PHP jirrisettja l-istat intern tiegħu, biex xejn mit-talba A ma jaqa' fit-talba B.
F'CVE-2026-109619 dan ir-risettjar ma jaħdimx kompletament. Skont php.net, stat intern li jappartjeni lit-talba jista' jibqa' wara li titneħħa l-memorja. Talba aktar tard fl-istess worker tista' tuża dan l-istat skadut qabel ma jiġi rrisettjat. B'mod simplifikat: xi ħaġa tinqeda għal darb'oħra li fil-fatt m'għadhiex valida.
Mill-lat tat-tħaddim dan huwa notevoli. L-użu mill-ġdid tal-workers huwa mixtieq, għax jagħmel is-servers tal-web mgħaġġla: worker m'għandux bżonn jerġa' jinbeda għal kull talba, iloadja estensjonijiet u joħloq memorja. Il-vulnerabbiltà għalhekk taffettwa karatteristika li għandha prattikament kull installazzjoni produttiva ta' PHP. php.net ma jsemmi ebda konfigurazzjoni li tevita l-problema kompletament; għalhekk it-triq tgħaddi mill-aġġornament.
Dettalji dwar l-isfruttament ma nippubblikawhomx. Għall-operaturi jgħodd dan: kull modalità tat-tħaddim fejn il-workers jaqdu diversi talbiet għandha tinżamm taħt għajnejn, u eżattament dawn il-modalitajiet huma dawk tas-soltu.
Iż-żewġ vulnerabbiltajiet ta' PHP2Shell imqabbla
| Karatteristika | CVE-2026-109618 | CVE-2026-109619 |
|---|---|---|
| Identifikatur GitHub | GHSA-w8hw-w9fx-j79w | GHSA-6wmf-4rv5-p3rp |
| Klassifikazzjoni | CVSS v4.0 9,2 | CVSS v4.0 9,2 |
| Kawża | Out-of-memory waqt l-inizjalizzazzjoni tad-data tat-talba | Stat intern jibqa' wara t-tneħħija tal-memorja |
| Effett | Eżekuzzjoni ta' kodiċi mingħajr login | Eżekuzzjoni ta' kodiċi mingħajr login |
| Rranġata fi | 8.5.12, 8.4.27, 8.3.36, 8.2.35 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
Huma affettwati PHP-FPM, Apache b'mod_php, php-cgi, FrankenPHP u LiteSpeed. L-ogħla riskju t-tim ta' PHP jarah f'mod_php; għaliex nispjegawh f'Għaliex mod_php għandu l-ogħla riskju.
Agħlqu CVE-2026-109619: aġġornament, imbagħad restart tal-workers kollha
Preċiżament f'din il-vulnerabbiltà r-restart huwa deċiżiv. Sakemm workers qodma jibqgħu jaħdmu fil-memorja, is-server ikompli jaħdem bil-kodiċi difettuż, anke jekk il-fajls il-ġodda jkunu diġà fuq id-disk.
Iċċekkjaw il-verżjoni u l-istat tal-pakkett. L-ismijiet tal-pakketti jvarjaw skont id-distribuzzjoni u l-interface tal-hoster:
php -v
php-fpm8.3 -v # il-binarju FPM jista' jkollu verżjoni differenti mis-CLI
apt policy php8.3-fpm # Debian/Ubuntu
dnf info php-fpm # familja RHEL
rpm -q --changelog php-fpm | grep -i "CVE-2026-109619"
Imbagħad erġgħu ibdew is-servizzi affettwati kollha:
sudo systemctl restart php8.3-fpm # għal kull verżjoni installata ta' PHP
sudo systemctl restart apache2 # b'mod_php; taħt RHEL is-servizz jissejjaħ httpd
Jekk id-distribuzzjoni jew il-hoster tagħkom jinstalla backport, in-numru tal-verżjoni murija jista' jibqa' l-istess. Allura jgħoddu l-changelog tal-pakkett u l-konferma bil-miktub tal-fornitur. Verifika pass pass issibuha f'Restart ta' PHP-FPM u tal-workers kollha.
Innutaw id-data u l-ħin tar-restart. Għall-evalwazzjoni aktar tard jekk attakk seħħx qabel jew wara l-patch, dan il-ħin huwa l-aktar punt ta' referenza importanti.
X'jibqa' xi jsir wara l-patch
Patch ma jippruvax li qabel ma ġara xejn. Skont rapporti tal-midja, l-ewwel tentattiv ta' attakk ġie osservat fis-17 ta' Ottubru, erba' ijiem qabel il-patches. Żommu l-logs tas-server mill-20 ta' Ottubru 'il quddiem, kif tirrakkomanda l-istampa speċjalizzata, u ivverifikaw is-server għal anomaliji. Indikazzjonijiet jagħti l-paġna Diġà kompromessi?.
Ftakru fil-firxa: f'eżekuzzjoni ta' kodiċi b'suċċess l-attakkant għandu d-drittijiet tal-proċess ta' PHP. Jista' jaqra dak li l-applikazzjoni tista' taqra, pereżempju fajls tal-konfigurazzjoni b'aċċessi tad-database jew ċwievet tal-API. Jekk jiġi kkonfermat inċident, dawn l-aċċessi jridu jiġu ġġedda wara t-tindif.
Kif tgħin PHP SOS b'mod konkret?
Bis-servizz ta' patch ta' PHP nimplimentaw il-korrezzjoni b'mod li jista' jiġi segwit:
- Niġbru: Liema verżjonijiet u modalitajiet tat-tħaddim ta' PHP jaħdmu fuq liema server, u liema sors tal-pakketti jipprovdihom?
- Nippatchjaw: Aġġornament mis-sors it-tajjeb jew miżuri temporanji skont php.net, fejn l-aġġornament għadu mblukkat.
- Niċċekkjaw ir-restart: Niċċekkjaw proċess wara proċess li qed taħdem biss il-verżjoni rranġata.
- Niddokumentaw: Verżjonijiet, stati tal-pakketti u ħinijiet tar-restart, biex tkunu tistgħu tippruvaw l-istat.
Mistoqsijiet frekwenti
X'jiddistingwi CVE-2026-109619 minn CVE-2026-109618?
CVE-2026-109618 tinħoloq meta kundizzjoni out-of-memory tinterrompi t-talba f'nofs l-inizjalizzazzjoni. CVE-2026-109619 tikkonċerna stat li jibqa' fil-worker wara t-tmiem ta' talba. It-tnejn iwasslu għal eżekuzzjoni ta' kodiċi mingħajr login u huma rranġati fl-istess verżjonijiet ta' PHP.
Jgħin jekk inerġa' nibda l-workers ta' PHP-FPM aktar spiss?
Bħala sostitut tal-aġġornament mhuwiex adattat. php.net ma jsemmix restarts aktar frekwenti tal-workers bħala miżura temporanja. Il-workers madankollu jridu jerġgħu jinbdew wara l-aġġornament, biex il-verżjoni korretta tkun taħdem tassew.
Aġġornament tas-CMS jipproteġini minn CVE-2026-109619?
Le. Il-vulnerabbiltà tinsab f'PHP u mhux f'WordPress, Shopware, TYPO3 jew xi sistema oħra. Biss aġġornament ta' PHP jew backport ikkonfermat tal-fornitur jagħlaqha.
Hemm traċċi magħrufa ta' attakk permezz ta' CVE-2026-109619?
Indicators of Compromise ikkonfermati għadhom ma ġewx ippubblikati. Is-skoperta tistrieħ fuq analiżi tal-imġiba, pereżempju fajls ġodda tal-PHP, konnessjonijiet ħierġin mhux tas-soltu jew cronjobs mhux magħrufa.