AWS paskelbė WAF taisykles, skirtas laimėti laiko prieš dvi kritines neautentifikuotas PHP RCE spragas
Trumpai: 2026 m. spalio 21 d. PHP projektas išleido skubius pataisymus dviem kritinėms spragoms, bendrai vadinamoms PHP2Shell, leidžiančioms užpuolikui vykdyti kodą serveryje be prisijungimo. Abi įvertintos CVSS v4.0 balu 9.2 ir glūdi tame, kaip PHP apdoroja multipart failų įkėlimo užklausas dar prieš paleidžiant pačios aplikacijos kodą. Pataisytos versijos – PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35, o AWS papildomai paskelbė AWS WAFv2 taisyklių šablonus bei serverio lygio nustatymus, mažinančius riziką toms komandoms, kurioms reikia laiko diegti atnaujinimą. AWS aiškiai pažymi, kad ugniasienės taisyklės padeda tik pakraštyje – jos negali visiškai uždaryti vienos iš dviejų spragų, todėl pataisymas lieka privalomas.
Šią santrauką automatiškai parengė dirbtinis intelektas pagal „AWS Security“ publikaciją. Tai mūsų tekstas, ne originalo kopija — faktai, skaičiai ir citatos priklauso šaltiniui, kurio nuoroda pateikta viršuje ir apačioje.
Kas pasikeitė?
- 1CVE-2026-109618: atminties sugadinimas, kai PHP pritrūksta atminties apdorojant multipart užklausų turinį.
- 2CVE-2026-109619: viena užklausa gali palikti liekamąją vidinę būseną, kurią vėliau panaudoja kita užklausa, apdorojama to paties PHP proceso.
- 3Abi spragos įvertintos CVSS v4.0 9.2 (kritinė) ir išnaudojamos be autentifikacijos.
- 4Pataisymai pateikti PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35 versijose; PHP 8.1 ir senesnės nebepalaikomos oficialiai, todėl reikia tiekėjo atgalinio pataisymo arba perėjimo į palaikomą šaką.
- 5AWS WAF pavyzdinė taisyklė: blokuoti užklausą tik tada, kai tai POST metodas, yra PHPSESSID slapukas ar reikšmė kūne, ir kartu yra PHP_SESSION_UPLOAD_PROGRESS laukas.
- 6Papildoma griežtesnė taisyklė: visiškai blokuoti multipart/form-data srautą programoms, kurios neturi teisėtos failų įkėlimo funkcijos.
- 7Kitos WAF galimybės: riboti maksimalų užklausos kūno dydį ir taikyti dažnio apribojimą POST užklausoms pagal IP, siekiant sumažinti išnaudojimo bandymus.
- 8Rekomenduojami serverio nustatymai kartu su WAF: memory_limit=-1, griežtesnis post_max_size, fatal_error_backtraces=0, session.upload_progress.enabled=0 ir pm.max_requests=1, kad darbiniai procesai būtų perkraunami po kiekvienos užklausos.
Kodėl tai svarbu?
Bet kuris į internetą atsuktas serveris, naudojantis PHP – įskaitant CMS, savadarbes žiniatinklio aplikacijas ar administravimo pultus, susietus su skambučių centrų ar CRM sistemomis – tampa potencialiu taikiniu, kol nėra pataisytas, nes spragai išnaudoti prisijungimas nereikalingas. Ugniasienės taisyklės sumažina riziką per pataisymo laikotarpį, tačiau nepakeičia PHP atnaujinimo, o viena iš dviejų spragų iš dalies lieka nematoma WAF, nes priklauso nuo vidinės proceso atminties pakartotinio naudojimo, o ne nuo to, ką ugniasienė gali patikrinti.
Ką tai reiškia AI agentams ir kontaktų centrams?
Jei bet kuri balso AI ar skambučių centro infrastruktūros dalis naudoja PHP (valdymo skydeliai, CRM jungtys, žiniatinklio portalai ar administravimo įrankiai), nedelsiant patikrinkite PHP versijas ir pirmiausia atnaujinkite į 8.5.12/8.4.27/8.3.36/8.2.35. Kol atnaujinimas vyksta, šiame straipsnyje aprašytų AWS WAF taisyklių – blokuojančių POST+PHPSESSID+PHP_SESSION_UPLOAD_PROGRESS derinį, ribojančių kūno dydį ir POST užklausų dažnį – diegimas gali sumažinti riziką, tačiau tai turėtų būti laikoma laikina priemone, o ne sprendimu, ypač programoms, kurios naudoja failų įkėlimą.
Šaltiniai
- AWS SecurityOficialusPirminis šaltinisOriginalus straipsnis →„Using AWS WAF to apply mitigations for PHP2Shell RCE vulnerabilities (CVE-2026-109618 and CVE-2026-109619)“2026-10-22 03:50
- Šaltinio publikavimo data
- 2026-10-22 03:50
- Mūsų sistema rado
- 2026-10-22 03:56
- Santrauka sugeneruota
- 2026-10-22 03:58
Straipsnį pagal originalų šaltinį parašė AI. Faktai, skaičiai ir kainos — iš šaltinio; trūkstamos reikšmės pažymėtos „Nėra oficialių duomenų“. Teisinė informacija, autorių teisės ir privatumas