Reálne zneužívanie zraniteľností v PHP potvrdené až v sobotu, napriek mediálnemu chaosu

Značky: bezpečnosťweb

DSL.sk, 26.10.2026

Reálne vážne zneužívanie kritických zraniteľností v programovacom jazyku PHP so spustením útočníkom zvoleného kódu a využitím na úspešný útok bolo podľa zatiaľ verejne dostupných informácií prvýkrát zachytené a potvrdené až v sobotu 24. októbra v podvečerných hodinách.

Zneužívanie zraniteľností takýmto spôsobom ako prvý zachytil a potvrdil Adel Karimi zo spoločnosti Perplexity, upozornil Bleeping Computer.

Kritické zraniteľnosti CVE-2026-109618 a CVE-2026-109619 označované ako PHP2Shell umožňujú dosiahnuť spustenie útočníkom zvoleného kódu vďaka chybám umožňujúcim dosiahnuť použitie pamäte po jej uvoľnení. Ako sme informovali v tomto článku, tvorcovia PHP upozorňovali na ich pripravované opravenie vopred a vopred bolo známa ich veľká závažnosť s CVSS v4.0 skóre 9.2.

Zraniteľnosti sú prítomné a zneužiteľné vo všetkých verziách PHP vydaných v poslednom čase a dajú sa zneužiť v štandardnej konfigurácii PHP. Dajú sa zneužiť bez ohľadu na samotný kód napísaný v PHP, ešte pred začatím vykonávania kódu v PHP. Keďže v PHP je implementovaná veľká časť webov, ide samozrejme o mimoriadne závažné zraniteľnosti s veľkým dopadom.

Na druhej strane zraniteľnosti s podobnou technickou závažnosťou nie sú v serverových produktoch výnimočné. Aj keď typicky sa týkajú menšieho počtu serverov, pre zraniteľné servery sú rovnako závažné. Nie je tak jasné, čo spôsobilo neúmerne väčšiu pozornosť a medializáciu týchto zraniteľností ako iné zraniteľnosti, keď o týchto zraniteľnostiach informovali napríklad aj masové médiá vo svojich hlavných spravodajských reláciách a v reakcii okrem iného štátne inštitúcie preventívne vypínali do opravenia zraniteľností weby.

Aktualizácie podporovaných verzií PHP 8.2 až 8.5 boli vydané v stredu 21. októbra o 16:00 nášho času. Pre staršie už nepodporované verzie tvorcovia PHP nevydali oficiálne nové verzie, k dispozícii sú ale opravy na úrovni zdrojových kódov a napríklad linuxové distribúcie môžu prekompilovať a distribuovať opravené nižšie verzie.

V hodinách po zverejnení informácií sa objavili informácie o zachytenom masovom zneužívaní týchto nových zraniteľností a to dokonca ešte pred ich opravením a oficiálnym zverejnením informácií. Prvé zneužívanie bolo podľa zverejnených informácií zachytené štyri dni pred opravením zraniteľností.

Viaceré tieto informácie neuvádzali respektíve zamlčali, že nešlo o úspešné zneužitie zraniteľností s dosiahnutím spustenia kódu a zrealizovania úspešného útoku. Podľa informácií Dataminr zo štvrtka 22. októbra boli všetky známe útoky do tohto času technicky neúspešné, maximálne skenovali zraniteľné servery alebo zrejme prípadne mohli spôsobiť padnutie serverového procesu. Podľa Bleeping Computer je sobotňajšie zachytenie prvým známym zachytením reálne úspešných útokov.

To samozrejme ale nedokazuje a nutne neznamená, že nemohli existovať skoršie úspešné útoky. Podľa týchto informácií medializované masové útoky v prvých hodinách teda ale zrejme ešte úspešné byť nemali.

Podľa piatkových informácií tvorcov PHP v ďalšej aktualizácii bude opravená ešte jedna chyba, ktorá môže umožňovať spustenie zvoleného kódu vo veľmi špecifických situáciách a iba pre PHP aplikácie uskutočňujúce špecifické kroky. Zabrániť jej zneužívaniu do opravenia je možné nastavením session.upload_progress.enabled=0, nastavením odporúčaným aj pre zabránenie časti útokov proti jednej zo zraniteľností opravených minulý týždeň.


Najnovšie články:



Diskusia:

Pridať komentár