CERT/CC: две уязвимости PHP позволяют выполнить код без авторизации — доступны исправления Кого затрагивает: Администраторы доступных по сети PHP-сервисов, включая устаревшие ветки; особенно Apache mod_php.

CERT/CC: ошибки очистки при нехватке памяти и повторного использования освобождённого состояния запроса позволяют потенциально выполнить код без авторизации через HTTP. Для mod_php есть PoC до запуска приложения; это не свидетельство массовых атак.

Нужен срочный патч: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 либо бэкпорт дистрибутива/LTS. Под угрозой и инфраструктура. Временные меры для обеих CVE не заменяют обновление.

A subsequent request handled by the same worker can access this stale state before normal request initialization resets it

Источники: CERT/CC Vulnerability Notes Читать полный обзор

Подпишись на @DeusOps

CERT/CC: две уязвимости PHP позволяют выполнить код без авторизации — доступны исправления Кого затрагивает: Администраторы доступных по сети PHP-сервисов, включая устаревшие ветки; особенно Apache mo... | Сетка — социальная сеть от hh.ru