CVE-2026-109618: RCE trí staid Out-of-Memory

Go achomair: Is í CVE-2026-109618 ceann de dhá leochaileacht PHP2Shell. Féadann staid Out-of-Memory PHP a bhriseadh nuair nach bhfuil sonraí an iarratais tosaithe ach go páirteach; le linn an ghlanta is féidir sonraí neamhbhailí a mheas mar bhailí ansin. Ceadaíonn sé sin cód a rith gan logáil isteach. Tá an earráid ceartaithe i PHP 8.5.12, 8.4.27, 8.3.36 agus 8.2.35.

Cad is CVE-2026-109618 ann?

Is leochaileacht earráide cuimhne í CVE-2026-109618 (aitheantas GitHub GHSA-w8hw-w9fx-j79w) i gcroílár PHP. Tá sí rátáilte 9.2 ar CVSS v4.0. Le CVE-2026-109619 cruthaíonn sí an rud ar a dtugtar PHP2Shell sna meáin.

Is é an éifeacht ná an rud ar a dtugtar unauthenticated Remote Code Execution: is féidir le hionsaitheoir cód a rith ar an bhfreastalaí gréasáin ón gcianrochtain agus gan cuntas úsáideora. Dá bhrí sin baineann an leochaileacht leis an aicme leochaileachtaí is contúirtí is féidir a bheith ag freastalaí gréasáin.

Conas a thagann an leochaileacht chun cinn go bunúsach

Nuair a phróiseálann PHP iarratas gréasáin, cruthaíonn sé struchtúir sonraí inmheánacha don iarratas sin, mar shampla do shonraí foirme curtha isteach. Má shroicheann PHP a theorainn chuimhne agus é ag déanamh sin, stopann sé le staid Out-of-Memory. De réir php.net is féidir sin tarlú nuair nach bhfuil sonraí an iarratais tosaithe ach go páirteach.

Ag deireadh gach iarratais glanann PHP suas agus saorann sé an chuimhne. Sin go beacht an áit a bhfuil an earráid: is féidir leis an nglanadh sonraí neamhbhailí, nár cruthaíodh ach go leath, a láimhseáil mar bhailí. As an iompar mícheart seo is féidir cód a rith faoi choinníollacha áirithe.

Cén fáth a bhfuil earráid den sórt sin chomh tromchúiseach? Bíonn tionchar ag earráid chuimhne sa teanga ríomhchlárúcháin ar gach feidhmchlár a ritheann uirthi, beag beann ar chomh cúramach agus a ríomhchlárófar iad. Tá tionchar ar shuiteáil WordPress dea-chothabháilte le breiseáin chothrom le dáta díreach mar a bhíonn ar sheanfhorbairt shaincheaptha. Dá bhrí sin ní chabhraíonn nuashonrú an fheidhmchláir anseo, ach nuashonrú PHP amháin.

Ní fhoilsímid sonraí teicniúla eile faoin leas a bhaint as an leochaileacht d'aon ghnó. Níl siad ag teastáil don chosaint: an rud is tábhachtaí, an úsáideann do fhreastalaí leagan ceartaithe agus an bhfuil na próisis nua ag rith i ndáiríre.

Leaganacha agus modhanna oibriúcháin buailte

Tá tionchar ar na modhanna oibriúcháin PHP-FPM, Apache le mod_php, php-cgi, FrankenPHP agus LiteSpeed. Measann foireann PHP gurb é mod_php an riosca is airde. Cuireann dáiltí agus soláthraithe óstála backports isteach uaireanta, ionas go dtaispeántar uimhir leagain níos sine cé go bhfuil an earráid ceartaithe. Is iad staid na bpacáistí agus deimhniú an tsoláthraí an rud a chuireann i gcuntas.

Maidir leis an méid: chomhaireamh Palo Alto Networks (Unit 42) breis agus 22,6 milliún sampla nochta a d'fhéadfadh a bheith leochaileach. D'eisigh an BSI rabhadh leibhéal 3 (flannbhuí) agus bhí sé ag súil le leas a bhaint as go tapa agus go forleathan.

CVE-2026-109618 a cheartú: nuashonrú agus atosú

Is é an nuashonrú an t-aon leigheas iomlán. Seiceáil leagan agus staid pacáiste ar dtús. Athraíonn ainmneacha pacáistí de réir dáilte; glacann na samplaí le PHP 8.3:

php -v
apt policy php8.3-fpm          # Debian/Ubuntu
dnf info php-fpm               # RHEL, AlmaLinux, Rocky, Fedora
rpm -q --changelog php-fpm | grep -i "CVE-2026-109618"

Má luann changelog an phacáiste uimhir an CVE, tá an backport curtha isteach. Mura luann, ní chiallaíonn sé go huathoibríoch go bhfuil an pacáiste leochaileach; ansin cabhraíonn comparáid leis an tábla leaganacha nó fiosrúchán ag an soláthraí.

Tar éis an nuashonraithe caithfear gach próiseas PHP a atosú, mar shampla le systemctl restart php8.3-fpm nó, i gcás mod_php, le hatosú Apache. Conas a chinntíonn tú nach bhfuil oibrí sean ag rith a thuilleadh, féach PHP-FPM agus gach oibrí a atosú.

Bearta idirthréimhseacha mura bhfuil an nuashonrú indéanta fós

D'fhoilsigh php.net bearta idirthréimhseacha do PHP2Shell. Baineann siad leis an dá leochaileacht le chéile agus ní cosaint iomlán iad go sainráite. Oireann sé do chúis Out-of-Memory CVE-2026-109618 go mbaineann roinnt acu le teorainneacha cuimhne; ní bhíonn sannadh oifigiúil ann, áfach, idir bearta aonair agus CVEanna aonair.

; Sampla linne FPM, m.sh. /etc/php/8.3/fpm/pool.d/www.conf (cosán difriúil de réir dáilte)
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M          ; 32M, má theastaíonn uaslódálacha
php_admin_value[upload_max_filesize] = 6M    ; i gcónaí faoi bhun post_max_size
php_admin_flag[session.upload_progress.enabled] = off

Caithfear na luachanna a leagan síos ionas nach féidir le feidhmchláir iad a fhorscríobh, dá bhrí sin php_admin_value. Le memory_limit=-1 teastaíonn teorainn chuimhne ón taobh amuigh ón tseirbhís, trí choimeádán nó cgroup, ní trí RLIMIT_AS ná RLIMIT_DATA. Ar PHP 8.5 cuirtear fatal_error_backtraces=0 leis. Tá na sonraí go léir ag Bearta láithreacha mura féidir leat paistiú fós.

Conas a chabhraíonn PHP SOS go nithiúil?

Dúnaimid CVE-2026-109618 ar bhealach struchtúrtha trínár seirbhís paistithe PHP:

• An staid reatha a thaifeadadh: brainse PHP, modh oibriúcháin, foinse pacáiste agus staid backport do gach freastalaí.
• An nuashonrú a chur isteach ón bhfoinse pacáiste cheart nó, nuair nach féidir sin, na bearta idirthréimhseacha a leagan síos go glan i gcumraíocht na linne nó an fhreastalaí.
• An t-atosú a sheiceáil: rialaímid nach bhfuil seanphróisis PHP ag rith a thuilleadh.
• Fianaise: gheobhaidh tú doiciméadú le leaganacha agus staid pacáistí roimh agus tar éis na hidirghabhála, mar shampla don bhainistíocht, d'árachóirí nó do chosaint sonraí.

Ceisteanna coitianta

Foinsí

• php.net: fógraí slándála
• PHP 8 ChangeLog
• BSI (Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise)