Сегодня проект PHP раскрыл информацию о двух критических уязвимостях удаленного выполнения кода, CVE-2026-109618 и CVE-2026-109619, в языке сценариев, на котором работает значительная часть веб-серверов и систем управления контентом в мире. Обе уязвимости получили оценку 9.2 по шкале Common Vulnerability Scoring System (CVSS 4.0). Обе могут быть использованы неавторизованным злоумышленником.
Для большинства организаций вопрос не в том, используют ли они PHP. Вопрос в том, где именно он запущен и сколько экземпляров удастся пропатчить до того, как ими воспользуются злоумышленники. Это и есть разрыв в защите в эпоху Frontier AI, который проявляется в режиме реального времени. Клиентам, использующим Frontier Virtual Patching в составе Palo Alto Networks Advanced Threat Prevention Plus, не пришлось ждать его устранения. Они были защищены с 20 октября, еще до того, как детали уязвимостей стали достоянием общественности. Не ждите, пока ручное обновление патчей подвергнет риску вашу веб-инфраструктуру. Получите немедленную защиту до раскрытия уязвимостей с помощью Frontier Virtual Patching и проконсультируйтесь со специалистом.
Почему это важно
Четыре детали делают это событие приоритетным для каждой команды безопасности:
- Не требуются учетные данные. Согласно бюллетеню безопасности PHP, каждая установка PHP, обрабатывающая веб-запросы, находится под угрозой. Риск наиболее высок для mod_php, где неавторизованный запрос может инициировать атаку до запуска какого-либо кода приложения.
- Масштабная уязвимость. Cortex Xpanse выявил более 22 миллионов открытых экземпляров, потенциально подверженных этим уязвимостям.
- Код эксплойта уже существует. Unit 42 обнаружил доказательства концептуальных эксплойтов, и многие европейские правительства в качестве меры предосторожности отключили свои веб-сайты.
- Нет безопасного обходного пути. Команда безопасности PHP четко заявляет, что промежуточные изменения конфигурации снижают риск, но не делают сервер безопасным. Обновление — единственное полное решение.
Разрыв в защите переместился на вашу сторону
Когда мы представили Frontier Virtual Patching в PAN-OS 12.2, мы описали общую уязвимость продолжительностью более 145 дней как сумму двух задержек: времени, необходимого поставщику для выпуска патча (30–90 дней), и времени, необходимого клиенту для его развертывания (~55 дней).
В данном случае команда безопасности PHP сделала именно то, что должны делать ответственные разработчики. Они заранее предупредили, скоординировались с дистрибутивами Linux и выпустили исправленные версии (8.5.12, 8.4.27, 8.3.36 и 8.2.35) в день раскрытия информации. Время выпуска патча поставщиком было фактически равно нулю.
Это оставляет вторую часть уравнения, и она является более сложной. В среднем предприятию требуется 55 days для устранения уязвимости в приложении. Тем временем 29% of vulnerabilities теперь превращаются в оружие в течение 24 часов после раскрытия. И PHP редко представляет собой один сервер, который можно обновить по расписанию. Он работает внутри систем управления контентом, образов контейнеров, внутренних инструментов и сторонних устройств, программным обеспечением которых вы не управляете. PHP 8.1 и более старые версии вообще больше не получают исправлений от проекта PHP.
Вы не можете пропатчить то, что не можете найти, и ни одна организация не сможет найти и пропатчить каждый экземпляр PHP на этой неделе. Патчить быстрее необходимо. Но этого уже недостаточно для потока уязвимостей, который мы наблюдаем в эпоху Frontier AI.
Это именно тот сценарий, для которого был создан Frontier Virtual Patching.
Защита еще до раскрытия
Клиенты, использующие Advanced Threat Prevention Plus с Frontier Virtual Patching, были защищены от CVE-2026-109618 и CVE-2026-109619 с 20 октября, еще до того, как детали уязвимостей были обнародованы, благодаря сигнатуре Threat Prevention 543004. Никаких простоев. Никаких перезагрузок программного обеспечения. Никаких ручных изменений политик. После публикации уязвимости и патчей Advanced Threat Prevention также выпустила стандартное покрытие IPS (через сигнатуры 543004, 97622, 97623, 97624, 97625) 21 октября. После обычного выпуска контента для ATP сигнатура 543004 будет присутствовать как во Frontier Virtual Patching, так и в контенте ATP в течение 7-дневного льготного периода, после чего она будет исключена из превентивного покрытия Frontier Virtual Patching.
Поскольку эта защита работает на сетевом уровне, она защищает каждую рабочую нагрузку PHP, трафик которой проходит через брандмауэр, включая те, которые еще не внесены в ваш реестр. Она распространяется на PA-Series, VM-Series и вскоре на Prisma Access, поэтому та же защита применяется в центре обработки данных, облаке и контейнерных средах. Вот подробности превентивного покрытия, отображаемые в Strata Cloud Manager.
Так выглядит превентивная защита на практике. Frontier Virtual Patching сочетает в себе проактивное обнаружение уязвимостей от NOVA, нашего анализатора уязвимостей Frontier AI (который просканировал более 6000 репозиториев OSS за 3 месяца и обнаружил более 17000 уязвимостей, из которых 99% являются новыми, а 40% — критическими), с ранними раскрытиями от партнеров в нашей программе Critical Defense Program и более чем 20 традиционными источниками разведданных. Защищенный доступ позволяет нам предоставлять превентивное виртуальное исправление до того, как уязвимость станет публичной, не раскрывая детали, необходимые злоумышленнику для создания эксплойта.
Действия для руководителей сетевой безопасности сегодня
Для руководителей сетевой безопасности решение проблем с уязвимостями PHP начинается с этих практических шагов.
- Во-первых, защитите все рабочие нагрузки PHP прямо сейчас. Чтобы снизить риски и обеспечить защиту от атак, убедитесь, что ваши политики безопасности применяют Advanced Threat Prevention Plus к трафику, направляемому как на внешние, так и на внутренние серверы PHP, и что сигнатура настроена на блокировку. Для приложений HTTPS убедитесь, что входящий трафик расшифровывается, чтобы брандмауэр мог видеть попытку эксплойта.
- Во-вторых, оцените свой инвентарь — найдите каждый экземпляр PHP, включая те, о которых вы не знаете. Включите правило поверхности атаки PHP в Cortex Xpanse, чтобы выявить PHP, доступный из интернета. Используйте Cortex Cloud Posture или Prisma Cloud Compute, чтобы найти уязвимые версии PHP в коде и облачных рабочих нагрузках.
- В-третьих, патчите в приоритетном порядке на основе доступности. Сначала отдавайте приоритет исправлению общедоступных и высокорисковых серверов путем обновления до поддерживаемых безопасных версий программного обеспечения или применения патчей дистрибутива. Если немедленное обновление невозможно, запросите сроки у поставщика, перейдите с устаревших систем и примените промежуточные меры по усилению защиты для снижения риска.
- В-четвертых, исходите из того, что кто-то мог добраться туда первым. Разверните операции безопасности в реальном времени; используйте Cortex XDR или Cortex XSIAM для поиска активности после эксплуатации на хостах PHP. Если вы подозреваете компрометацию, обратитесь в группу реагирования на инциденты Unit 42.
- В-пятых, сделайте превентивную защиту стандартом. Это не последняя критическая уязвимость в программном обеспечении, которое работает повсюду. Относитесь к виртуальному исправлению как к постоянному уровню вашей архитектуры, а не как к экстренной мере.
Эти действия помогают руководителям служб безопасности перейти от реагирования на каждое раскрытие к опережению событий. Исправление остается окончательным лекарством. Но организации, которые выходят из подобных событий невредимыми, — это не просто те, кто патчит быстрее всех. Это те, кто был защищен с помощью Frontier Virtual Patching еще до того, как им пришлось это делать.
Сделайте следующий шаг
- Начните с 30-дневной пробной версии Frontier Virtual Patching.
- Прочитайте отчет Unit 42 о безопасности по CVE-2026-109618 и CVE-2026-109619.
- Ознакомьтесь с рекомендациями по безопасности PHP и обновите руководство.
- Узнайте, как работает Frontier Virtual Patching, и посмотрите подробный обзор.
- Под атакой? Свяжитесь с Unit 42.
