Újabb kritikus sebezhetőséget találtak a PHP-ben, már megvan a javítás is

Öt nap leforgása alatt már a második biztonsági frissítést adta ki a PHP. A programnyelv fejlesztői újjáépítették a 8.2-től a 8.5-ig terjedő verziókhoz tartozó Windows-csomagokat, hogy kijavítsák vele a CVE-2026-111497 azonosítójú hibát, ami a Google szerint 9,2-es fokozatú, vagyis kritikus hibának számít.

A hiba a csomagokban található Brotli tömörítési könyvtárat érinti, és lehetővé teheti egy támadó számára a memória elérését, illetve azt, hogy egy kártékony kódot futtasson a céleszközön – írja a The Hacker News.

A 8.5.12-1, 8.4.27-1, 8.3.36-1 és 8.2.35-1 verziószámú, újraépített csomagok öt nappal azután jelentek meg, hogy egy kritikus hibát orvosoltak a fejlesztők. Mint arról korábban beszámoltunk, a PHP2Shell néven emlegetett biztonságirés-párosnál fennállt a veszélye annak, hogy ha egy rosszindulatú fél kihasználja a sebezhetőséget, távolról azt csinál egy online rendszerrel, amit csak akar. Az is kiderült, a sérülékenységet aktívan ki is használták. Mivel a mostani frissítés ugyanarra a PHP-forráskódra épül, a PHP2Shell javítások is érvényben maradnak.

Mit érdemes tudni mindenkinek arról a két kritikus hibáról, ami az internet 70 százalékát veszélyezteti?

Távolról történő beavatkozásra, weboldalak és szolgáltatások fölötti online hatalomátvételre ad lehetőséget a napokban felfedezett hibapár. Tízből hét rendszert érint, és magától nem oldódik meg: a támadásokat csak az tudja kivédeni, aki gondoskodik a frissítésről.

A PHP azt javasolja a Windows-felhasználóknak, hogy töltsék le az új verziókat erről az oldalról. Mivel maga a PHP-verzió nem változik, a php -v parans a frissítés előtt és után is ugyanazt a verziószámot mutatja majd. Az új kiadást a fájlnévben szereplő „-1” jelölés (például: php-8.5.12-1-nts-Win32-vs17-x64.zip) azonosítja.

A mostani hibát az OpenAI kutatói fedezték fel, és a PHP szerint eddig nem volt arra utaló jel, hogy bárki is kihasználta volna azt.

Ha máskor is tudni szeretne hasonló dolgokról, lájkolja a HVG Tech rovatának Facebook-oldalát.

(Nyitókép forrása: AFP/Julian Stratenschulte)