Aktualizacja strony bezpieczeństwa PHP: znane regresje
- monitoring
Jesteśmy świadomi raportów podkreślających regresje w kilku ostatnich oficjalnych łatach bezpieczeństwa PHP. Oficjalna Grupa PHP nie opublikowała jeszcze oficjalnego stanowiska ani zaktualizowanych poprawek dotyczących tych raportów. Nadal istnieją zakłócenia w celu ochrony klientów przed obecnie znanymi ścieżkami ataku, a my nadal obserwujemy dalsze zmiany. Klienci nie są obecnie zobowiązani do podejmowania działań. Obecnie znane regresje są: 1. RCE zależne od konfiguracji: Zgłoszona demonstracja RCE wpływa na PHP 8.5.12 (co może mieć wpływ również na wcześniejsze wersje) w określonych konfiguracjach. Wprowadziliśmy środki łagodzące, które naruszają wykazany łańcuch eksploatacji. Nasi klienci pozostają chronieni przed tą konkretną ścieżką ataku. 2. Memory- safety Regression: Oddzielny, zweryfikowany raport o błędzie identyfikuje potencjalny problem wolny od dublera wpływający na PHP 8.4.27 i 8.5.12, który może powodować awarie w określonych warunkach. Jest to obecnie kwestia stabilności i bezpieczeństwa pamięci, a nie krytyczna kwestia bezpieczeństwa (np. zdalne wykonanie kodu). Monitorujemy sytuację i będziemy w dalszym ciągu szybko reagować na nowe szczegóły dotyczące podatności na zagrożenia lub techniki atakowania, gdy się pojawią. Jeśli masz jakieś pytania, skontaktuj się z naszym zespołem wsparcia.
- monitoring
PHP RCE Advisory (CVE- 2026- 115560) Zgodnie z najnowszym doradztwem Grupy PHP w zakresie bezpieczeństwa (https: / / www.php.net / archive / 2026.php # 2026- 10- 23-1), kwestia zdalnego wykonania kodu zależnego od konfiguracji (RCE) podświetlona w naszej poprzedniej aktualizacji została już przydzielona do CVE- 2026- 115560. Jak wynika z naszej poprzedniej aktualizacji, nasz zespół ds. bezpieczeństwa aktywnie przewidział tę wrażliwość i wdrożył ograniczenia przed formalnym ujawnieniem tej wrażliwości. Zastosowane już ograniczenia odpowiadają zaleceniom zawartym w najnowszej opinii Grupy PHP. Klienci są nadal chronieni przed nowym CVE- 2026- 115560. Klienci nie są obecnie zobowiązani do podejmowania działań. Nadal monitorujemy rozwój sytuacji i w razie potrzeby dostosowujemy naszą ochronę.
Automatyczne tłumaczenie oficjalnej aktualizacji incydentu.