Go achomair: Is í CVE-2026-109619 an dara leochaileacht taobh thiar de PHP2Shell. Is féidir le staid inmheánach a bhaineann le hiarratas fanacht tar éis don chuimhne a shaoradh; is féidir le hiarratas níos déanaí san oibrí céanna í a úsáid sula ndéantar í a athshocrú. Is é an toradh cód a rith gan logáil isteach. Leigheas: nuashonrú go PHP 8.5.12, 8.4.27, 8.3.36 nó 8.2.35 agus atosú gach oibrí.
Cad is CVE-2026-109619 ann?
Tá CVE-2026-109619 (aitheantas GitHub GHSA-6wmf-4rv5-p3rp) rátáilte 9.2 ar CVSS v4.0. Le CVE-2026-109618 cruthaíonn sí PHP2Shell. Tá an dá leochaileacht i PHP féin agus ní i bhfeidhmchlár.
Is ionann an éifeacht agus an leochaileacht dheirfiúr: is féidir le hionsaitheoir cód a rith ar an bhfreastalaí ón gcianrochtain, gan pasfhocal agus gan cuntas úsáideora. Ach tá cúis dhifriúil léi.
Cén fáth a bhfuil staid as dáta san oibrí contúirteach
Ní thosaíonn freastalaí gréasáin PHP próiseas nua do gach iarratas. Le PHP-FPM, Apache le mod_php, LiteSpeed nó FrankenPHP, láimhseálann oibrí go leor iarratas ceann i ndiaidh a chéile. Idir dhá iarratas athshocraíonn PHP a staid inmheánach ionas nach dtéann aon ní ó iarratas A isteach in iarratas B.
I gcás CVE-2026-109619 ní oibríonn an t-athshocrú seo go hiomlán. De réir php.net is féidir staid inmheánach a bhaineann leis an iarratas fanacht tar éis don chuimhne a shaoradh. Is féidir le hiarratas níos déanaí san oibrí céanna an staid as dáta seo a úsáid sula ndéantar í a athshocrú. I mbeagán focal: úsáidtear rud a bhí le bheith neamhbhailí cheana féin.
Ó thaobh an oibriúcháin tá sé seo suntasach. Tá athúsáid oibrithe d'aon ghnó, mar go ndéanann sé freastalaithe gréasáin tapa: ní gá d'oibrí atosú do gach iarratas, eisínteachtaí a luchtú agus cuimhne a leithdháileadh. Dá bhrí sin buaileann an leochaileacht gné atá ag beagnach gach suiteáil táirgthe PHP. Ní luann php.net aon chumraíocht a sheachnaíonn an fhadhb go hiomlán; dá bhrí sin téann an bealach tríd an nuashonrú.
Ní fhoilsímid sonraí faoin leas a bhaint as. D'oibreoirí is é seo an rud is tábhachtaí: ba cheart súil a choinneáil ar gach modh oibriúcháin ina láimhseálann oibrithe iarratais iolracha, agus is iad sin go beacht na gnáthmhodhanna.
An dá leochaileacht PHP2Shell i gcomparáid
| Gné | CVE-2026-109618 | CVE-2026-109619 |
|---|---|---|
| Aitheantas GitHub | GHSA-w8hw-w9fx-j79w | GHSA-6wmf-4rv5-p3rp |
| Rátáil | CVSS v4.0 9.2 | CVSS v4.0 9.2 |
| Truicear | Out-of-Memory le linn tosaithe shonraí an iarratais | Fanann staid inmheánach tar éis a saoraithe |
| Éifeacht | Cód a rith gan logáil isteach | Cód a rith gan logáil isteach |
| Ceartaithe i | 8.5.12, 8.4.27, 8.3.36, 8.2.35 | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
Tá tionchar ar PHP-FPM, Apache le mod_php, php-cgi, FrankenPHP agus LiteSpeed. Feiceann foireann PHP an riosca is airde ag mod_php; mínímid cén fáth ag Cén fáth a n-iompraíonn mod_php an riosca is airde.
CVE-2026-109619 a dhúnadh: nuashonrú, ansin gach oibrí a atosú
Go háirithe leis an leochaileacht seo tá an t-atosú ríthábhachtach. Chomh fada agus atá seanoibrithe ag rith sa chuimhne, leanann an freastalaí ag obair leis an gcód lochtach, fiú má tá na comhaid nua ar an diosca le fada.
Seiceáil leagan agus staid pacáiste. Athraíonn ainmneacha pacáistí de réir dáilte agus comhéadan an tsoláthraí óstála:
php -v
php-fpm8.3 -v # d'fhéadfadh leagan difriúil a bheith ag dénártha FPM ná ag CLI
apt policy php8.3-fpm # Debian/Ubuntu
dnf info php-fpm # teaghlach RHEL
rpm -q --changelog php-fpm | grep -i "CVE-2026-109619"
Ansin atosaigh na seirbhísí go léir atá buailte:
sudo systemctl restart php8.3-fpm # do gach leagan PHP suiteáilte
sudo systemctl restart apache2 # i gcás mod_php; faoi RHEL tugtar httpd ar an tseirbhís
Má chuireann do dháileachán nó do sholáthraí óstála backport isteach, d'fhéadfadh an uimhir leagain a thaispeántar fanacht mar a bhí. Ansin is iad changelog an phacáiste agus deimhniú scríofa an tsoláthraí an rud a chuireann i gcuntas. Gheobhaidh tú seiceáil céim ar chéim ag PHP-FPM agus gach oibrí a atosú.
Tabhair faoi deara dáta agus uair an atosaithe. Chun measúnú a dhéanamh níos déanaí ar ar tharla ionsaí roimh nó tar éis an phaiste, is é an t-am seo an pointe tagartha is tábhachtaí.
Cad atá fós le déanamh tar éis an phaiste
Ní chruthaíonn paiste nár tharla aon rud roimhe sin. De réir tuairiscí na meán breathnaíodh an chéad iarracht ionsaithe an 17 Deireadh Fómhair, ceithre lá roimh na paistí. Coinnigh logaí an fhreastalaí ón 20 Deireadh Fómhair i leith, mar a mholann an preas speisialaithe, agus seiceáil an freastalaí le haghaidh neamhghnáchaíochtaí. Tá leideanna ar an leathanach An bhfuil briseadh isteach déanta orm cheana?.
Smaoinigh ar an raon: nuair a ritheann cód go rathúil, tá cearta phróiseas PHP ag an ionsaitheoir. Is féidir leis an méid a fhéadann an feidhmchlár a léamh a léamh, mar shampla comhaid chumraíochta le rochtana bunachair sonraí nó eochracha API. Má dheimhnítear teagmhas, ba cheart na sonraí rochtana seo a athnuachan tar éis an ghlanta.
Conas a chabhraíonn PHP SOS go nithiúil?
Leis an tseirbhís paistithe PHP cuirimid an ceartúchán i bhfeidhm ar bhealach inrianaithe:
- Taifeadadh: Cé na leaganacha agus modhanna oibriúcháin PHP atá ag rith ar cén freastalaí, agus cén fhoinse pacáiste a sholáthraíonn iad?
- Paistiú: Nuashonrú ón bhfoinse cheart nó bearta idirthréimhseacha de réir php.net, nuair a bhíonn an nuashonrú blocáilte fós.
- Atosú a rialú: Seiceálaimid próiseas ar phróiseas nach bhfuil ach an leagan ceartaithe ag rith.
- Doiciméadú: Leaganacha, staid pacáistí agus amanna atosaithe, ionas gur féidir leat an staid a chruthú.
Ceisteanna coitianta
Cad is difríocht idir CVE-2026-109619 agus CVE-2026-109618?
Eascraíonn CVE-2026-109618 nuair a stopann staid Out-of-Memory an t-iarratas i lár na tosaithe. Baineann CVE-2026-109619 le staid a fhanann san oibrí tar éis deireadh an iarratais. Tugann an dá cheann cód a rith gan logáil isteach agus tá siad ceartaithe sna leaganacha PHP céanna.
An gcabhraíonn sé oibrithe PHP-FPM a atosú níos minice?
Ní oireann sé mar ionadach don nuashonrú. Ní luann php.net atosuithe oibrí níos minice mar bheart idirthréimhseach. Caithfidh tú na hoibrithe a atosú tar éis an nuashonraithe, áfach, ionas go rithfidh an leagan ceartaithe ar chor ar bith.
An bhfuil mé cosanta i gcoinne CVE-2026-109619 le nuashonrú CMS?
Níl. Tá an leochaileacht i PHP agus ní i WordPress, Shopware, TYPO3 ná aon chóras eile. Ní dhúnann ach nuashonrú PHP nó backport deimhnithe ón soláthraí í.
An bhfuil rianta aitheanta ionsaithe trí CVE-2026-109619 ann?
Níor foilsíodh Indicators of Compromise deimhnithe go dtí seo. Tá an bhrath bunaithe ar anailís ar iompar, mar shampla comhaid PHP nua, naisc amach neamhghnácha nó cronjobs anaithnide.