🚨 Важное уведомление! Обнаружены критические уязвимости PHP, затрагивающие продукты Sherpa Robotics

Уважаемые коллеги и партнёры!

Команда разработчиков PHP сообщила о двух критических уязвимостях безопасности, которые потенциально затрагивают следующие продукты Sherpa Robotics:

🔹 Sherpa Orchestrator 🔹 Sherpa AI Server 🔹 Sherpa Process Discovery

⚠️ Насколько серьёзна угроза?

Каждая из обнаруженных уязвимостей получила оценку 9,2 из 10 по шкале CVSS 4.0, что соответствует критическому уровню опасности.

Степень риска зависит от особенностей инфраструктуры:

🔴 Открытый контур. Если перечисленные компоненты доступны из интернета, существует критический риск эксплуатации уязвимостей злоумышленниками.

🟠 Закрытый контур. Если компоненты размещены во внутренней сети, угроза сохраняется при наличии возможности проникновения злоумышленников или вредоносного ПО во внутреннюю инфраструктуру.

Что предпринимает Sherpa Robotics?

21 октября команда PHP выпустила обновления безопасности, устраняющие обнаруженные уязвимости.

В настоящее время специалисты Sherpa Robotics работают над подготовкой обновлённых версий затронутых продуктов.

После завершения необходимых проверок мы выпустим обновления, устраняющие выявленные уязвимости.

🛡 Что рекомендуем сделать уже сейчас?

До установки исправлений рекомендуем: 1. Проверить конфигурацию и доступность компонентов Sherpa Orchestrator, Sherpa AI Server и Sherpa Process Discovery. 2. По возможности ограничить внешний доступ к затронутым компонентам. 3. Подготовить резервные копии систем и баз данных. 4. Применить временные меры защиты, описанные ниже. 5. После выхода обновлений Sherpa Robotics установить исправленные версии продуктов.

Как снизить риски до установки обновлений?

В качестве одной из временных мер рекомендуется отключить отслеживание прогресса загрузки файлов в PHP.

Для этого в конфигурации php.ini необходимо установить:

session.upload_progress.enabled = Off

После изменения настройки необходимо перезапустить соответствующие процессы PHP.

Дополнительно можно ограничить потенциально опасные запросы multipart/form-data с помощью WAF или обратного прокси-сервера.

⚠️ Обратите внимание: перечисленные меры позволяют снизить вероятность эксплуатации отдельных сценариев атаки, но не гарантируют полной защиты. Перед внесением изменений необходимо оценить их влияние на работоспособность системы.

Мы внимательно следим за ситуацией и информируем клиентов о необходимых мерах защиты.

О выходе обновлённых версий продуктов Sherpa Robotics сообщим дополнительно.

🔗 Официальная информация PHP: https://www.php.net/archive/2026.php#2026-10-21-1