CVE-2026-109618: RCE minn kundizzjoni out-of-memory

Fil-qosor: CVE-2026-109618 hija waħda miż-żewġ vulnerabbiltajiet wara PHP2Shell. Kundizzjoni out-of-memory tista' tinterrompi PHP waqt li d-data tat-talba hija biss parzjalment inizjalizzata; meta wara jsir it-tindif, data invalida tista' titqies valida. Dan jippermetti eżekuzzjoni ta' kodiċi mingħajr login. L-iżball huwa rranġat f'PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35.

X'inhi CVE-2026-109618?

CVE-2026-109618 (identifikatur GitHub GHSA-w8hw-w9fx-j79w) hija vulnerabbiltà ta' żball tal-memorja fil-qalba ta' PHP. Għandha klassifikazzjoni CVSS v4.0 ta' 9,2. Flimkien ma' CVE-2026-109619 tifforma dak li fil-midja jissejjaħ PHP2Shell.

L-effett huwa t-tip imsejjaħ unauthenticated Remote Code Execution: attakkant jista' mill-bogħod u mingħajr kont ta' utent jesegwixxi kodiċi fuq is-server tal-web. B'hekk il-vulnerabbiltà tappartjeni għall-aktar klassi perikoluża ta' dgħufijiet li server tal-web jista' jkollu.

Kif tinħoloq il-vulnerabbiltà fil-prinċipju

Meta PHP jipproċessa talba tal-web, joħloq internament strutturi ta' data għal din it-talba, pereżempju għad-data tal-formoli mibgħuta. Jekk PHP jilħaq il-limitu tal-memorja tiegħu hekk, jieqaf b'kundizzjoni out-of-memory. Skont php.net, dan jista' jiġri waqt li d-data tat-talba hija biss parzjalment inizjalizzata.

Fl-aħħar ta' kull talba PHP inaddaf u jeħles il-memorja. Preċiżament hawn jinsab l-iżball: it-tindif jista' jittratta data invalida u maħluqa biss nofs mod bħala valida. Minn din l-imġiba żbaljata, f'ċerti kundizzjonijiet, tista' tinkiseb eżekuzzjoni ta' kodiċi.

Għaliex żball bħal dan huwa daqshekk serju? Żball tal-memorja fil-lingwa tal-programmazzjoni jaffettwa l-applikazzjonijiet kollha li jaħdmu fuqha, kemm jekk ikunu programmati bir-reqqa. Installazzjoni mmaniġġjata sew ta' WordPress b'plugins aġġornati hija affettwata daqs żvilupp proprju qadim. Għalhekk hawnhekk ma jgħinx aġġornament tal-applikazzjoni, imma biss aġġornament ta' PHP.

Dettalji tekniċi oħra dwar l-isfruttament apposta ma nippubblikawhomx. Għad-difiża mhumiex meħtieġa: id-deċiżiv huwa jekk is-server tagħkom juża verżjoni rranġata u jekk il-proċessi l-ġodda jaħdmux tassew.

Verżjonijiet u modalitajiet tat-tħaddim affettwati

Huma affettwati l-modalitajiet tat-tħaddim PHP-FPM, Apache b'mod_php, php-cgi, FrankenPHP u LiteSpeed. It-tim ta' PHP jikklassifika r-riskju b'mod_php bħala l-ogħla. Id-distribuzzjonijiet u l-hosters xi kultant jinstallaw backports, u allura tidher verżjoni aktar antika minkejja li l-iżball ġie rranġat. Id-deċiżivi huma l-istat tal-pakkett u l-konferma tal-fornitur.

Dwar id-daqs: Palo Alto Networks (Unit 42) għadd aktar minn 22,6 miljun istanza esposta u potenzjalment vulnerabbli. Il-BSI ħareġ twissija ta' livell 3 (oranġjo) u kien jistenna sfruttament mgħaġġel fuq skala kbira.

Kif tirranġaw CVE-2026-109618: aġġornament u restart

L-uniku rimedju sħiħ huwa l-aġġornament. Iċċekkjaw l-ewwel il-verżjoni u l-istat tal-pakkett. L-ismijiet tal-pakketti jvarjaw skont id-distribuzzjoni; l-eżempji jassumu PHP 8.3:

php -v
apt policy php8.3-fpm          # Debian/Ubuntu
dnf info php-fpm               # RHEL, AlmaLinux, Rocky, Fedora
rpm -q --changelog php-fpm | grep -i "CVE-2026-109618"

Jekk il-changelog tal-pakkett isemmi n-numru CVE, il-backport huwa installat. Jekk ma jissemmiex, dan ma jfissirx awtomatikament li l-pakkett huwa vulnerabbli; allura jgħin it-tqabbil mat-tabella tal-verżjonijiet jew mistoqsija lill-fornitur.

Wara l-aġġornament il-proċessi kollha ta' PHP iridu jerġgħu jinbdew, pereżempju b'systemctl restart php8.3-fpm jew, fil-każ ta' mod_php, b'restart ta' Apache. Kif tiżguraw li ma jibqa' jaħdem ebda worker qadim tarawh f'Restart ta' PHP-FPM u tal-workers kollha.

Miżuri temporanji jekk l-aġġornament għad ma jistax isir

php.net ippubblika miżuri temporanji għal PHP2Shell. Japplikaw għaż-żewġ vulnerabbiltajiet flimkien u espliċitament mhumiex protezzjoni sħiħa. Il-fatt li diversi minnhom jirreferu għal-limiti tal-memorja jaqbel mal-kawża out-of-memory ta' CVE-2026-109618; assenjazzjoni uffiċjali ta' miżuri individwali għal CVE individwali madankollu ma teżistix.

; Eżempju ta' pool FPM, pereżempju /etc/php/8.3/fpm/pool.d/www.conf (path differenti skont id-distribuzzjoni)
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M          ; 32M, wenn Uploads nötig sind
php_admin_value[upload_max_filesize] = 6M    ; immer unter post_max_size
php_admin_flag[session.upload_progress.enabled] = off

Il-valuri jridu jiġu ssettjati b'tali mod li l-applikazzjonijiet ma jistgħux jissovrascrivuhom, għalhekk php_admin_value. B'memory_limit=-1 is-servizz jeħtieġ limitu tal-memorja minn barra, permezz ta' kontenitur jew cgroup, mhux permezz ta' RLIMIT_AS jew RLIMIT_DATA. Fuq PHP 8.5 jiżdied fatal_error_backtraces=0. Id-dettalji kollha jinsabu f'Miżuri immedjati jekk għad ma tistgħux tippatchjaw.

Kif tgħin PHP SOS b'mod konkret?

Permezz tas-servizz ta' patch ta' PHP tagħna nagħlqu CVE-2026-109618 b'mod strutturat:

• Niġbru l-istat attwali: fergħa ta' PHP, modalità tat-tħaddim, sors tal-pakketti u stat tal-backport għal kull server.
• Ninstallaw l-aġġornament mis-sors xieraq tal-pakketti jew, fejn dan ma jistax isir, insettjaw il-miżuri temporanji kif imiss fil-konfigurazzjoni tal-pool jew tas-server.
• Niċċekkjaw ir-restart: Niċċekkjaw li ma jkun għadu jaħdem ebda proċess qadim ta' PHP.
• Prova: Tirċievu dokumentazzjoni bil-verżjonijiet u l-istati tal-pakketti qabel u wara l-intervent, pereżempju għad-direzzjoni, l-assikuratur jew il-protezzjoni tad-data.

Mistoqsijiet frekwenti

Sorsi

• php.net: Avviżi tas-sigurtà
• PHP 8 ChangeLog
• BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni