PHP Security Team upozornil na další zranitelnost umožňující vzdálené spuštění kódu, tentokrát označenou jako CVE-2026–115560. Chyba souvisí se zpracováním průběhu nahrávání souborů v rámci uživatelských relací. Podle vývojářů ji lze zneužít pouze při neobvyklé kombinaci nastavení a aplikačního kódu, a proto pro ni nevydají mimořádnou opravu.
Riziko se týká aplikací, které používají určité nastavení serializace relací a následně je za běhu změní, přičemž mají stále zapnutou funkci sledování průběhu nahrávání. PHP Security Team doporučuje do vydání běžné opravné aktualizace tuto funkci vypnout nastavením session.upload_progress.enabled=0. Kdo toto opatření zavedl už kvůli předchozí zranitelnosti, nemusí dělat nic dalšího.
Nová chyba přichází krátce po odhalení dvou kritických zranitelností známých jako PHP2Shell, které rovněž umožňovaly vzdálené spuštění kódu a vyvolaly obavy z rozsáhlých útoků. PHP patří mezi nejrozšířenější jazyky pro tvorbu webů a webových aplikací, takže potenciální dopad byl značný.
Informace o připravované opravě se dostaly na veřejnost ještě před plánovaným vydáním záplaty. Následně prudce vzrostl počet pokusů o zneužití zranitelností – během několika hodin jich byly údajně miliony. Některé organizace kvůli tomu preventivně odstavily své weby.
Skutečných průniků však bylo zatím překvapivě málo. Jedním z možných důvodů je technologie ASLR, která při každém spuštění programu náhodně mění umístění jeho kódu a dat v paměti, a tím útočníkům ztěžuje spolehlivé zneužití chyby.
Yotam Perkal ze společnosti Pluto Security ve vyjádření pro magazín TechRadar podotýká, že překonat tuto ochranu na dálku není snadné a řada veřejně dostupných ukázek útoku v praxi nefunguje spolehlivě. ASLR ale podle něj poskytuje spíš čas navíc než trvalou ochranu. Provozovatelé by proto měli servery aktualizovat a restartovat procesy PHP, které zpracovávají požadavky. Dosavadní omezený počet úspěšných útoků totiž nezaručuje, že situace vydrží.
Computertrends si můžete objednat i jako klasický časopis. Je jediným odborným magazínem na českém a slovenském trhu zaměreným na profesionály v oblasti informačních a komunikačních technologií (ICT). Díky silnému zázemí přináší aktuální zpravodajství, analýzy, komentáře a přehledy nejnovejších technologií dříve a na vyšší odborné úrovni, než ostatní periodika na tuzemském trhu.
Obsah Computertrends je určen odborníkům a manažerům z firem a institucí, kteří se podílejí na rozhodovacím procesu při nákupu ICT technologií. Jednotlivá čísla si můžete objednat i v digitální podobě.
PŘEDPLATNÉ
ČLÁNKY DO MAILU