PHP-də istənilən saytı ələ keçirməyə imkan verə biləcək boşluq aşkarlanıb

PHP tərtibatçıları bu gün Bakı vaxtı ilə saat 18:00-da iki kritik təhlükəsizlik boşluğunu aradan qaldıran yeniləmələri (8.5.12, 8.4.27, 8.3.36 və 8.2.35) təqdim edəcəklərini elan ediblər. PHP istifadə edən serverlərin administratorlarına yeniləmələri əlçatan olan kimi quraşdırmaq tövsiyə olunur.

Rəsmi məlumatlar yalnız düzəlişlər yayımlandıqdan sonra açıqlanacaq. Lakin açıq mənbələrdə Avropa İttifaqının Kibertəhlükəsizlik Agentliyinin məlumatları və digər mənbələr əsasında yayılan məlumatlara görə, söhbət CVE-2026-109618 və CVE-2026-109619 boşluqlarından gedir. Bu boşluqlar standart konfiqurasiya ilə PHP skriptlərini icra edən istənilən veb-serverdə uzaqdan kod icrasına imkan verə bilər. Problemlər PHP 5.4-dən başlayaraq bütün versiyalara təsir edir.

Şəbəkədə artıq sistemlərin bu boşluqlara qarşı həssaslığını yoxlamaq üçün istismar kodlarının (exploit) ilkin versiyaları yayılıb (1, 2).

İstismar koduna əlavə edilmiş qeyddə bildirilir ki, boşluqlar faylların serverə yüklənməsi prosesini izləyən session.upload_progress mexanizmində artıq azad edilmiş yaddaş sahəsinə müraciətlə əlaqədardır.

Hücumun həyata keçirilməsi üçün saytda fayl yükləmə funksiyasının mövcud olması tələb olunmur. PHP interpretatorunda multipart/form-data tipli sorğuları emal edən mexanizmin avtomatik işə düşməsi kifayətdir.

Uğurlu istismar üçün prosesin yaddaşında yerləşən strukturların mövqeyini müəyyən etmək lazımdır. Bu yerləşmə hər bir proqram yığımı (build) üçün fərqli ola bilər. Exploit müxtəlif Linux distributivlərinin paketləri üçün əvvəlcədən hesablanmış yaddaş offsetlərini yoxlayaraq uyğun mövqeləri müəyyən etməyə çalışır.

Müvəqqəti qorunma üsulları

Mövcud tövsiyələrdən biri php.ini konfiqurasiya faylında aşağıdakı parametri söndürməkdir:

session.upload_progress.enabled = off

PHP-FPM istifadə edildikdə isə bu parametr pulun konfiqurasiyasında belə göstərilə bilər:

php_admin_flag[session.upload_progress.enabled] = off

Lakin PHP layihəsinin nümayəndəsi (mənbə) və ilk exploit prototipinin müəllifi (mənbə) bildirirlər ki, bu parametrin söndürülməsi hər iki boşluğun qarşısını almaq üçün kifayət deyil.

İkinci exploit prototipinin qeydində göstərilir ki, rəsmi yeniləmələri quraşdırmadan hücumun qarşısını almaq üçün php.ini parametrini söndürməklə yanaşı, multipart/form-data məzmun tipli sorğuları da tam bloklamaq lazımdır. Bu halda veb-formalar vasitəsilə faylların yüklənməsi mümkün olmayacaq.

Apache httpd veb-serverində mod_rewrite modulundan istifadə etməklə multipart sorğularını bloklamaq üçün aşağıdakı qaydadan istifadə etmək olar:

RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ - [F,L]

Nginx serverində isə aşağıdakı konfiqurasiyadan istifadə etmək mümkündür:

if ($http_content_type ~* "multipart") {
return 403;
}

Caddy veb-serverində multipart sorğularını bloklamaq üçün bu qaydanı əlavə etmək olar

@multipart header_regexp Content-Type (?i)multipart
respond @multipart 403

Qeyd: Bu qaydalar multipart/form-data sorğularını bloklayaraq fayl yükləmə funksiyalarının işləməsinə mane ola bilər. Onlar müvəqqəti qorunma tədbirləridir və rəsmi təhlükəsizlik yeniləmələrinin quraşdırılmasını əvəz etmir.