PHP / DATA PUBLICZNEGO OGŁOSZENIA
PHP2Shell: podatności w samym PHP
Błędy w obsłudze pamięci i procesów PHP mogły zagrozić aplikacji nawet wtedy, gdy sam CMS był aktualny.
Co się wydarzyło?
21 października 2026 roku PHP opublikował poprawki dwóch powiązanych podatności. Pierwsza dotyczyła uszkodzenia stanu przy wyczerpaniu limitu pamięci, druga nieprawidłowego stanu pozostającego pomiędzy żądaniami. Badacze nazwali tę rodzinę PHP2Shell.
PHP Foundation opisała zdalne wykonanie kodu w mod_php oraz potwierdzone ścieżki ataku przez PHP-FPM zależne od aplikacji. Nie można z tego wyciągać wniosku, że każda instalacja PHP-FPM była jednakowo podatna. Poprawki wydano w 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
Co to oznacza dla administratora?
Oprócz WordPressa czy Drupala trzeba aktualizować także PHP, które je uruchamia. Należy sprawdzić wszystkie używane wersje PHP, sposób ich uruchamiania oraz to, czy usługi korzystają już z poprawionego kodu. Podane wyżej numery wskazują pierwsze wydania z poprawkami, a nie wersje zalecane na stałe.