AWS publikuje reguły WAF dające czas na łatanie dwóch krytycznych, nieautoryzowanych luk RCE w PHP
W skrócie: 21 października 2026 r. twórcy PHP wydali pilne poprawki dla dwóch krytycznych luk, wspólnie nazwanych PHP2Shell, które pozwalają atakującemu uruchomić kod na serwerze bez logowania. Obie otrzymały ocenę CVSS v4.0 na poziomie 9.2 i dotyczą sposobu, w jaki PHP przetwarza żądania multipart przesyłania plików, zanim w ogóle uruchomi się kod aplikacji. Poprawione wersje to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, a AWS dodatkowo opublikował szablony reguł AWS WAFv2 oraz ustawienia po stronie serwera, które ograniczają powierzchnię ataku zespołom potrzebującym czasu na wdrożenie aktualizacji. AWS jasno zaznacza, że reguły zapory działają tylko na brzegu sieci – nie są w stanie całkowicie zamknąć jednej z dwóch luk, więc łatanie pozostaje obowiązkowe.
To podsumowanie zostało automatycznie przygotowane przez sztuczną inteligencję na podstawie publikacji „AWS Security”. To nasz tekst, nie kopia oryginału — fakty, liczby i cytaty należą do źródła, do którego link znajduje się powyżej i poniżej.
Co się zmieniło?
- 1CVE-2026-109618: uszkodzenie pamięci, gdy PHP wyczerpie dostępną pamięć podczas przetwarzania ciała żądania multipart.
- 2CVE-2026-109619: jedno żądanie może pozostawić wewnętrzny stan, który zostaje wykorzystany przez inne żądanie obsługiwane przez ten sam proces PHP.
- 3Obie luki ocenione na CVSS v4.0 9.2 (krytyczna) i możliwe do wykorzystania bez uwierzytelnienia.
- 4Poprawki dostępne w PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35; PHP 8.1 i starsze nie są już oficjalnie wspierane, więc konieczna jest poprawka od dostawcy lub migracja na wspieraną gałąź.
- 5Przykładowa reguła AWS WAF: blokuj żądanie tylko wtedy, gdy jest to metoda POST, zawiera ciasteczko lub wartość PHPSESSID w treści, a jednocześnie pole PHP_SESSION_UPLOAD_PROGRESS.
- 6Dodatkowa, surowsza reguła: całkowite blokowanie ruchu multipart/form-data dla aplikacji, które nie mają funkcji przesyłania plików.
- 7Inne opcje WAF: ograniczenie maksymalnego rozmiaru ciała żądania oraz limit częstotliwości żądań POST na adres IP, aby ograniczyć próby wykorzystania luki.
- 8Zalecane ustawienia serwera obok WAF: memory_limit=-1, niższy post_max_size, fatal_error_backtraces=0, session.upload_progress.enabled=0 oraz pm.max_requests=1, restartujące proces roboczy po każdym żądaniu.
Dlaczego to ważne?
Każdy serwer dostępny z internetu korzystający z PHP – w tym CMS-y, własne aplikacje webowe czy panele administracyjne połączone z systemami contact center lub CRM – jest potencjalnym celem do czasu załatania, ponieważ wykorzystanie luki nie wymaga logowania. Reguły zapory ograniczają ryzyko w okresie łatania, ale nie zastępują aktualizacji PHP, a jedna z dwóch luk częściowo pozostaje niewidoczna dla WAF, ponieważ zależy od wewnętrznego ponownego wykorzystania pamięci procesu, a nie czegoś, co zapora może sprawdzić.
Co to oznacza dla agentów AI i contact center?
Jeśli którakolwiek część infrastruktury głosowego AI lub contact center korzysta z PHP (panele, integracje CRM, portale webowe, narzędzia administracyjne), natychmiast sprawdź wersje PHP i w pierwszej kolejności zaktualizuj do 8.5.12/8.4.27/8.3.36/8.2.35. Jeśli aktualizacja wymaga czasu, wdrożenie opisanych tu reguł AWS WAF – blokujących kombinację POST+PHPSESSID+PHP_SESSION_UPLOAD_PROGRESS, ograniczających rozmiar ciała żądania i limitujących częstotliwość POST-ów – może zmniejszyć ryzyko, ale powinno być traktowane jako rozwiązanie tymczasowe, zwłaszcza dla aplikacji korzystających z przesyłania plików.
Źródła
- AWS SecurityOficjalneŹródło pierwotneOryginalny artykuł →„Using AWS WAF to apply mitigations for PHP2Shell RCE vulnerabilities (CVE-2026-109618 and CVE-2026-109619)“22 paź 2026, 03:50
- Data publikacji źródła
- 22 paź 2026, 03:50
- Znalezione przez nasz system
- 22 paź 2026, 03:56
- Podsumowanie wygenerowano
- 22 paź 2026, 03:58
Artykuł napisała AI na podstawie oryginalnego źródła. Fakty, liczby i ceny pochodzą ze źródła; brakujące wartości oznaczono „Brak oficjalnych danych”. Informacje prawne, prawa autorskie i prywatność