PHP выпустит патчи для двух критических уязвимостей с рейтингом 9,2, эксперты предупреждают, что настройка session.upload_progress не обеспечивает защиту
PHP планирует выпустить исправления для двух уязвимостей уровня 9,2 / 10 21 октября; отключение функции Session Upload Progress не считается надёжным способом защиты.
PHP планирует выпустить патчи для двух критических уязвимостей, каждая из которых оценена в 9,2 из 10, в 14:00 UTC 21 октября. Обновления охватят поддерживаемые ветки PHP 8.2-8.5, при этом детали о затронутых версиях и мерах смягчения будут опубликованы одновременно с релизом. На данный момент не зафиксировано ни одной атаки, и PHP не раскрывал, какая часть кода уязвима и какие настройки могут влиять на риск.
Изменение конфигурации, которое распространяется как обходной путь — установка session.upload_progress.enabled=0 для отключения функции отслеживания прогресса загрузки сессии — не обеспечивает полной защиты. GMO Flatt Security, впервые предложившая это изменение, позже уточнила, что атаки могут его обойти, и что на эту настройку нельзя полагаться как на исправление. Разработчик ядра PHP Джина Питер Баньярд поддержала эту точку зрения, заявив, что единственной надёжной мерой смягчения является применение официального патча.
Администраторам рекомендуется уменьшить экспозицию, переместив уязвимые экземпляры PHP из публичного интернета, внедрив контроль доступа и подготовив процедуры обновления заранее. Если немедленное применение патча невозможно, CERT-EU советует изолировать интернет-ориентированные приложения, использовать VPN или списки разрешённых адресов, а также ограничить привилегии сервера и хранимые учётные данные. Старые неподдерживаемые версии PHP (включая 8.1, 7.x и 5.x) не получат исправлений и должны быть обновлены или выведены из эксплуатации.
Веб-аппликационные файрволы могут предоставить ограниченную защиту, но они не заменяют патч. Поставщиков хостинга и управляемых сервисов следует попросить подтвердить, когда будет доступна исправленная сборка PHP. После применения патчей операторы должны проверить обновлённую версию, проанализировать журналы на предмет активности до патча и убедиться, что любые оставшиеся настройки конфигурации применены корректно.