SK-CERT Bezpečnostné varovanie V20261021-01

CVE-2026-109618 by vzdialený neautentifikovaný útočník mohol zneužiť na navodenie "out-of-memory" stavu a následne na vzdialené vykonanie kódu s oprávneniami "web worker".

CVE-2026-109619 spočíva v znovupoužití uvoľneného miesta na halde a vzdialený neautentifikovaný útočník by ju mohol zneužiť na získanie neoprávneného prístupu k citlivým údajom a vzdialené vykonanie kódu s oprávneniami "web worker".

Zraniteľnosti možno zneužiť zaslaním špeciálne vytvorených webových požiadaviek.

Na základe informácií od spoločností AMAZON, CLOUDFLARE a bezpečnostných výskumníkov z WATCHTOWR, SANSEC, HADRIAN a EXPLOITR sú zraniteľnosti v súčasnosti aktívne zneužívané. Prvé pokusy o zneužitie boli zaznamenané už 17. októbra 2026.

PHP 8.5.X vo verziách starších ako 8.5.12
PHP 8.5.X vo verziách starších ako 8.4.27
PHP 8.5.X vo verziách starších ako 8.3.36
PHP 8.5.X vo verziách starších ako 8.2.35

# POZOR: verzie s ukončenou technickou podporou:

PHP 8.1.X vo všetkých verziách
PHP 8.0.X vo všetkých verziách
PHP 7 a staršie vo všetkých verziách

V prípade starších verzií (PHP 8.1, 8.0, 7 a staršie) odporúčame bezodkladnú migráciu na verzie s platnou podporou. Vzhľadom na závažnosť zraniteľností výrobca vydal aj minimálne backport opravy pre PHP 7.4, 8.0 a 8.1, ktorých nasadenie vyžaduje manuálny build.

Nakoľko odporúčania výrobcu pre mitigáciu neposkytujú úplnú ochranu pred zneužitím zraniteľností, v prípade, že aktualizáciu nie je možné vykonať ihneď, zraniteľné systémy je potrebné izolovať až do doby ich inštalácie.

Zároveň odporúčame preveriť súborový systém a všetky dostupné logy aplikácií, sieťových a bezpečnostných prvkov na prítomnosť podozrivej aktivity a artefaktov indikujúcich pokusy alebo úspešné zneužitie zraniteľností. Zamerajte sa najmä na:
– nezvyčajné alebo neštandardne veľké HTTP POST požiadavky typu multipart/form-data, najmä požiadavky obsahujúce parameter PHP_SESSION_UPLOAD_PROGRESS. Upozorňujeme, že tieto požiadavky môžu byť smerované aj na PHP endpointy, ktoré primárne neslúžia na upload súborov,
– neštandardne veľké alebo neobvyklé hodnoty cookies súvisiace s PHP session (PHPSESSID),
– záznamy indikujúce pády procesov PHP-FPM alebo Apache, segfault chyby, dosiahnutie pamäťových limitov alebo neočakávané reštarty služieb,
– záznamy indikujúce post-exploitačné aktivity, napríklad spúšťanie nových procesov z PHP workerov, shell príkazov alebo systémových nástrojov,
– prítomnosť nových alebo neautorizovaných súborov na súborovom systéme, najmä PHP skriptov, webshellov alebo súborov vytvorených v netypických umiestneniach.

Bližšie informácie a detailné odporúčania môžete nájsť vo varovaní SK-CERT dostupnom online na https://www.sk-cert.sk/sk/17345-2/index.html.