Примечание редактора: эта статья была обновлена 23 октября 2026 года в 15:20 по тихоокеанскому времени. В нее добавлены дополнительные рекомендации от Mandiant Consulting по мониторингу, установке исправлений и устранению уязвимостей. Ранее мы обновляли статью 22 октября 2026 года с пересмотренными рекомендациями для Security Command Center и Cloud Armor, а также 21 октября 2026 года.

PHP и Wiz Research сообщили сегодня о двух критических уязвимостях в среде выполнения языка PHP, которые могут подвергнуть приложения рискам неаутентифицированного удаленного выполнения кода и раскрытия памяти. Специалисты Wiz использовали различные модели для выявления этих уязвимостей и помощи в их устранении.

В частности, модель Gemini 4 Argon внесла неоценимый вклад в обнаружение уязвимости, разработку эксплойтов, обнаружение атак и проверку исправления.

Хотя сам Google Cloud не уязвим, пользователи PHP, работающие в Google Cloud, могут подвергаться риску. В Google Cloud мы понимаем всю серьезность этих уязвимостей и делимся рекомендациями, которые помогут нашим клиентам принять незамедлительные меры для защиты своих приложений.

Информация об уязвимостях

PHP — это широко используемый серверный язык сценариев, на котором работает множество веб-сайтов, систем управления контентом и веб-приложений. 21 октября 2026 года организации CVE.org присвоила уязвимостям идентификаторы CVE-2026-109618 и CVE-2026-109619.

Официальная базовая оценка серьезности по шкале Common Vulnerability Scoring System (CVSS) для каждой из уязвимостей PHP определена как «Критическая» со значением 9,2. Как правило, это означает, что злоумышленники могут вызвать сбой и перехватить уязвимую систему, а также легко похитить, изменить или стереть ее данные, хотя смягчающие обстоятельства могут затруднить эксплуатацию уязвимости.

CVE-2026-109618: Обработка нехватки памяти может прервать работу PHP в момент, когда данные внутреннего запроса инициализированы лишь частично. В результате очистка запроса может интерпретировать недействительные данные как действительные.
CVE-2026-109619: Внутреннее состояние, принадлежащее запросу, может сохраниться после освобождения выделенной под него памяти. Следующий запрос, обрабатываемый тем же воркером, может использовать это устаревшее состояние до того, как стандартная инициализация сбросит его.

CVE-2026-109619: Внутреннее состояние, принадлежащее запросу, может сохраниться после освобождения выделенной под него памяти. Следующий запрос, обрабатываемый тем же воркером, может использовать это устаревшее состояние до того, как стандартная инициализация сбросит его.

Уязвимые версии: Все версии PHP от 5.4 до 8.5.11

Уязвимые версии: Все версии PHP от 5.4 до 8.5.11

Исправлено в версиях: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35

Исправлено в версиях: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35

Не исправлено: Проект PHP не выпускает исправления для PHP 8.1 и более ранних версий, у которых завершился жизненный цикл.

Не исправлено: Проект PHP не выпускает исправления для PHP 8.1 и более ранних версий, у которых завершился жизненный цикл.

Исправление: CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) и CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp):

Исправление: CVE-2026-109618 () and CVE-2026-109619 ():

Анонс: PHP опубликовал рекомендации по безопасности в отношении этих двух уязвимостей.

Анонс: PHP опубликовал рекомендации по безопасности в отношении этих двух уязвимостей.

Компания Wiz Research опубликовала подробное описание исследования и процесса скоординированного раскрытия информации.

Обновите PHP и выполните повторное развертывание приложений

Мы настоятельно рекомендуем всем клиентам, запускающим приложения PHP в Google Cloud, немедленно обновиться до PHP 8.2 или более поздней версии и повторно развернуть свои службы, используя исправленную версию.

Это относится конкретно к приложениям, развернутым на следующих платформах:

Стандартная среда App Engine: Поддерживаемые среды выполнения получают исправления автоматически. Если вы используете PHP 8.1 или более раннюю версию, обновитесь до PHP 8.2 или новее и выполните повторное развертывание.

Стандартная среда App Engine: Поддерживаемые среды выполнения получают исправления автоматически. Если вы используете PHP 8.1 или более раннюю версию, обновитесь до PHP 8.2 или новее и выполните повторное развертывание.

Гибкая среда App Engine: Повторно разверните среды выполнения PHP, используя поддерживаемую среду. Если вы используете пользовательскую среду выполнения, обновите зависимости PHP до исправленной версии и выполните повторное развертывание приложения.

Гибкая среда App Engine: Повторно разверните среды выполнения PHP, используя поддерживаемую среду. Если вы используете пользовательскую среду выполнения, обновите зависимости PHP до исправленной версии и выполните повторное развертывание приложения.

Cloud Run: Если автоматическое обновление базовых образов не включено или вы развертываете собственный образ контейнера, пересоберите его с исправленной версией PHP и выполните повторное развертывание.

Cloud Run: Если автоматическое обновление базовых образов не включено или вы развертываете собственный образ контейнера, пересоберите его с исправленной версией PHP и выполните повторное развертывание.

Google Kubernetes Engine (GKE): Обновите образы контейнеров до исправленной версии PHP и выполните повторное развертывание подов.

Google Kubernetes Engine (GKE): Обновите образы контейнеров до исправленной версии PHP и выполните повторное развертывание подов.

Google Cloud Marketplace: Если вы используете решение из Marketplace, включающее PHP (например, систему управления контентом или стек LAMP), примените обновление от поставщика решения или обновите PHP напрямую.

Google Cloud Marketplace: Если вы используете решение из Marketplace, включающее PHP (например, систему управления контентом или стек LAMP), примените обновление от поставщика решения или обновите PHP напрямую.

Автоматические исправления для бессерверных платформ

Google Cloud внедряет обновленные бессерверные базовые образы для всех поддерживаемых версий PHP в App Engine Standard, App Engine Flexible, Cloud Run, Cloud Run function и Cloud Functions for Firebase.

Что это значит для вас:

Стандартная среда App Engine (PHP 8.2 и новее): Приложения обновляются автоматически. Никаких действий не требуется.

Стандартная среда App Engine (PHP 8.2 и новее): Приложения обновляются автоматически. Никаких действий не требуется.

Гибкая среда App Engine (все версии PHP): Приложения не обновляются автоматически. Как можно скорее выполните повторное развертывание приложения на PHP 8.2 и новее.

Гибкая среда App Engine (все версии PHP): Приложения не обновляются автоматически. Как можно скорее выполните повторное развертывание приложения на PHP 8.2 и новее.

Функции Cloud Run (PHP 8.2 и новее): Функции с включенным автоматическим обновлением базовых образов обновляются автоматически. Функции без включенного автоматического обновления базовых образов должны быть развернуты заново.

Функции Cloud Run (PHP 8.2 и новее): Функции с включенным автоматическим обновлением базовых образов обновляются автоматически. Функции без включенного автоматического обновления базовых образов должны быть развернуты заново.

Cloud Run (PHP 8.2 и новее): Сервисы с включенным автоматическим обновлением базовых образов обновляются автоматически. Сервисы, созданные без автоматического обновления базовых образов, должны быть пересобраны и развернуты заново для получения исправленной среды выполнения.

Cloud Run (PHP 8.2 и новее): Сервисы с включенным автоматическим обновлением базовых образов обновляются автоматически. Сервисы, созданные без автоматического обновления базовых образов, должны быть пересобраны и развернуты заново для получения исправленной среды выполнения.

Важные соображения:

Неподдерживаемые среды выполнения не будут получать исправления. Проект PHP выше по цепочке поставок не переносит эти исправления в PHP 8.1 и более ранние версии. Приложения на PHP 5.5, PHP 7.2, PHP 7.3, PHP 7.4 или PHP 8.1 остаются уязвимыми и должны быть обновлены до PHP 8.2 или более поздней версии. Даты окончания жизненного цикла для бессерверных сред см. в следующих графиках поддержки.

Не поддерживаемые среды выполнения патчиться не будут. Проект upstream PHP не выполняет бэкпорт этих исправлений для PHP 8.1 и более ранних версий. Приложения на PHP 5.5, PHP 7.2, PHP 7.3, PHP 7.4 или PHP 8.1 остаются уязвимыми и должны быть обновлены до PHP 8.2 или новее. См. следующие графики поддержки сред выполнения для дат жизненного цикла бессерверных вычислений:

Google App Engine Standard

Google App Engine Standard

Google App Engine Flexible

Google App Engine Flexible

Cloud Run

Cloud Run

Cloud Run functions

Cloud Run functions

Ответственность за контейнеры, которые вы собираете самостоятельно, лежит на вас. Если вы развернули собственный образ контейнера в Cloud Run или App Engine Flexible (например, с пользовательской средой выполнения), пересоберите его с исправленной версией PHP и выполните повторное развертывание.

Ответственность за контейнеры, которые вы собираете самостоятельно, лежит на вас. Если вы развернули собственный образ контейнера в Cloud Run или App Engine Flexible (например, с пользовательской средой выполнения), пересоберите его с исправленной версией PHP и выполните повторное развертывание.

Соберите дампы памяти перед перезапуском подозрительных хостов: если на сервере наблюдаются признаки активного зондирования или аномальные файлы cookie PHPSESSID, соберите память воркеров перед применением патчей или перезагрузкой, так как перезапуск воркеров безвозвратно уничтожает данные энергозависимой кучи.

Соберите дампы памяти перед перезапуском подозрительных хостов: если на сервере наблюдаются признаки активного зондирования или аномальные файлы cookie PHPSESSID, соберите память воркеров перед применением патчей или перезагрузкой, так как перезапуск воркеров безвозвратно уничтожает данные энергозависимой кучи.

Перезапустите фактический SAPI веб-сервера (включая воркеры под управлением supervisor): обновление пакетов на диске оставляет уязвимые бинарные файлы libphp.so или php-fpm в памяти работающих процессов воркеров. Явно перезапустите php8.x-fpm, apache2/httpd, frankenphp или lsws.

Перезапустите фактический SAPI веб-сервера (включая воркеры под управлением supervisor): обновление пакетов на диске оставляет уязвимые бинарные файлы libphp.so или php-fpm в памяти работающих процессов воркеров. Явно перезапустите php8.x-fpm, apache2/httpd, frankenphp или lsws.

Не ждите сторонних зеркад RPM от энтузиастов: команда безопасности PHP отметила, что сторонние зеркала могут отставать от скоординированного раскрытия информации; используйте официальные репозитории безопасности дистрибутивов (проверяйте через apt-get changelog php-fpm или rpm -q --changelog php-fpm | grep -E "CVE-2026-109618|CVE-2026-109619") или официальные сборки из исходного кода.

Не ждите сторонних зеркад RPM от энтузиастов: команда безопасности PHP отметила, что сторонние зеркала могут отставать от скоординированного раскрытия информации; используйте официальные репозитории безопасности дистрибутивов (проверяйте через apt-get changelog php-fpm или rpm -q --changelog php-fpm | grep -E "CVE-2026-109618|CVE-2026-109619") или официальные сборки из исходного кода.

Проведите аудит и защитите периметр предприятия и инфраструктуру управления: составьте инвентаризационный список всех периметровых, шлюзовых, управляющих, систем хранения и безопасности, в которых часто встроен PHP в административных плоскостях управления или ключевых модулях ОС. По мере того как вендоры продолжают раскрывать уязвимости, немедленно координируйте действия с производителями для применения экстренных обновлений прошивки или утвержденных временных обходных путей.

Проведите аудит и защитите периметр предприятия и инфраструктуру управления: составьте инвентаризационный список всех периметровых, шлюзовых, управляющих, систем хранения и безопасности, в которых часто встроен PHP в административных плоскостях управления или ключевых модулях ОС. По мере того как вендоры продолжают раскрывать уязвимости, немедленно координируйте действия с производителями для применения экстренных обновлений прошивок или утвержденных временных обходных путей.

Устранение уязвимостей CVE-2026-109618 и CVE-2026-109619 с помощью Cloud Armor

Cloud Armor выпустила рекомендованные средства устранения, использующие управляемые правила Cloud Armor. Клиентам с активными управляемыми правилами не нужно предпринимать никаких действий; защита от этих уязвимостей применяется автоматически.

Если вы еще не развернули управляемые правила Cloud Armor, сделайте это сейчас, чтобы снизить риски и помочь устранить эти уязвимости. Защита на основе управляемых правил Cloud Armor доступна прямо сейчас благодаря автоматически обновляемым наборам правил анализа угроз.

Эти правила призваны помочь защитить ваши ориентированные на интернет PHP-приложения и службы, использующие глобальные или региональные балансировщики нагрузки приложений. Следуйте этим шагам для немедленного развертывания правил в качестве фронтальной эшелонированной защиты, пока ваша программа управления уязвимостями обновляет и проверяет все уязвимые экземпляры PHP в вашей среде.

1. Развертывание стабильных управляемых правил в режиме принудительного применения для автоматических обновлений:

Чтобы защитить свои рабочие нагрузки, следуйте этому руководству, чтобы включить категории File Upload и RFI. Мы рекомендуем настроить все категории наборов правил в стабильной версии в режиме принудительного применения.

2. Снижение рисков для тел запросов, превышающих настроенные лимиты инспекции:

Создайте правило в своих политиках безопасности, чтобы гарантировать, что никакой непроверенный или избыточно большой контент не достигнет ваших бэкендов. Это важно для данных CVE, так как злоумышленники могут использовать большие полезные нагрузки для вызова ситуаций нехватки памяти (OOM).

Проверка безопасности правил WAF для вашего приложения и сбор телеметрии

Ознакомьтесь с нашим руководством по лучшим практикам Cloud Armor и учтите ограничения служб, чтобы минимизировать риски и оптимизировать производительность.

Меры по устранению от Cloud Armor служат исключительно в качестве компенсирующих элементов управления в вашей многоуровневой защите для снижения непосредственного воздействия. Для полного устранения этих уязвимостей требуется обновить PHP до исправленной версии и повторно развернуть службы.

Мониторинг и аудит

Google Cloud и Wiz в настоящее время поддерживают клиентов с помощью активного мониторинга, аудита и обнаружения в реальном времени во всех своих собственных предложениях безопасности. Клиенты могут использовать:

API On-Demand Scanning для ручного сканирования образов, хранящихся локально на вашем компьютере или удаленно в Artifact Registry. Клиенты, использующие Artifact Analysis, получат уведомления об этих уязвимостях как для новых, так и для существующих артефактов для выявления рабочих нагрузок повышенного риска.

API On-Demand Scanning для ручного сканирования образов, хранящихся локально на вашем компьютере или удаленно в Artifact Registry. Клиенты, использующие Artifact Analysis, получат уведомления об этих уязвимостях как для новых, так и для существующих артефактов для выявления рабочих нагрузок повышенного риска.

Security Command Center для мониторинга рабочих нагрузок и выявления экспонированных наружу экземпляров, затронутых этими двумя уязвимостями CVE.

Security Command Center для мониторинга рабочих нагрузок и выявления экспонированных наружу экземпляров, затронутых этими двумя уязвимостями CVE.

Внешняя экспозиция: включите службу External Exposure с модулем сканирования EXTERNALLY_EXPOSED_RCE_VULNERABILITY для обнаружения выставленных наружу рабочих нагрузок PHP в Compute Engine, GKE и Cloud Run. Результаты показывают нативный путь Google Cloud через балансировщики нагрузки, политики Cloud Armor и правила брандмауэра, помогая вам проверить покрытие WAF и заблокировать ненадежный доступ через брандмауэр во время применения патчей.

Внешняя экспозиция: включите службу External Exposure с модулем сканирования EXTERNALLY_EXPOSED_RCE_VULNERABILITY для обнаружения выставленных наружу рабочих нагрузок PHP в Compute Engine, GKE и Cloud Run. Результаты показывают нативный путь Google Cloud через балансировщики нагрузки, политики Cloud Armor и правила брандмауэра, помогая вам проверить покрытие WAF и заблокировать ненадежный доступ через брандмауэр во время применения патчей.

Оценка уязвимостей: включите Vulnerability Assessment для вашей организации или проектов, чтобы узнать, запущены ли на ваших виртуалках Compute Engine, узлах GKE и рабочих нагрузках контейнеров версии PHP, уязвимые к PHP2Shell.

Оценка уязвимостей: включите Vulnerability Assessment для вашей организации или проектов, чтобы узнать, запущены ли на ваших виртуалках Compute Engine, узлах GKE и рабочих нагрузках контейнеров версии PHP, уязвимые к PHP2Shell.

Обнаружение угроз: включите Container Threat Detection для GKE и Cloud Run Threat detection для мониторинга ваших рабочих нагрузок на предмет вторжений.

Обнаружение угроз: включите Container Threat Detection для GKE и Cloud Run Threat detection для мониторинга ваших рабочих нагрузок на предмет вторжений.

В Google Security Operations в набор правил Mandiant Frontline Threats добавлены 23 новых курируемых правила обнаружения. Мы рекомендуем убедиться, что этот набор правил включен, и просмотреть обнаруженные угрозы для оценки возможного влияния на вашу среду.

В Google Security Operations в набор правил Mandiant Frontline Threats добавлены 23 новых курируемых правила обнаружения. Мы рекомендуем убедиться, что этот набор правил включен, и просмотреть обнаруженные угрозы для оценки возможного влияния на вашу среду.

Клиенты Enterprise Plus могут дополнительно использовать Emerging Threat Center и выполнить поиск по запросу «GLOBAL.26.015» для получения подробной информации. Клиенты Enterprise plus, включившие Threat Hunt Agent в режиме Public Preview, также могут выполнить поиск угроз по запросу GLOBAL.26.015 из Emerging Threats Center.

Клиенты Enterprise Plus могут дополнительно использовать Emerging Threat Center и выполнить поиск по запросу «GLOBAL.26.015» для получения подробной информации. Клиенты Enterprise plus, включившие Threat Hunt Agent в режиме Public Preview, также могут выполнить поиск угроз по запросу GLOBAL.26.015 из Emerging Threats Center.

Клиенты Wiz могут обратиться к рекомендациям Wiz Threat Intel Center для PHP2Shell, которые включают встроенные средства безагентного обнаружения уязвимостей и обнаружения уязвимостей во время выполнения, обнаружения эксплойтов с помощью Wiz Defend и Sensor, автоматические правила реагирования, а также руководства по устранению последствий и поиску угроз. Дополнительная информация доступна here о мерах реагирования с помощью Wiz.

Клиенты Wiz могут обратиться к рекомендациям Wiz Threat Intel Center для PHP2Shell, которые включают встроенные средства безагентного обнаружения уязвимостей и обнаружения уязвимостей во время выполнения, обнаружения эксплойтов с помощью Wiz Defend и Sensor, автоматические правила реагирования, а также руководства по устранению последствий и поиску угроз. Дополнительная информация доступна о мерах реагирования с помощью Wiz.

Кроме того, Mandiant Threat Defense активно поддерживает клиентов, осуществляя мониторинг курируемых обнаружений в Google Security Operations и выполняя поиск следов активности вторжения, связанной с этой кампанией.

Исправление и устранение уязвимостей

Опубликован выпуск безопасности PHP. Вам следует обновить PHP во всех серверных средах, образах контейнеров и конвейерах развертывания. Кроме того:

В рамках обязательств Wiz по реагированию на уязвимости нулевого дня образы WizOS PHP предоставляются без списания биллинг-единиц для всех клиентов в течение следующих 60 дней. Базовые образы WizOS PHP (как стандартные сборки с защитой Alpine, так и сборки с поддержкой FIPS) уже исправлены от уязвимостей CVE-2026-109618 и CVE-2026-109619 и собраны из исходного кода.

В рамках обязательств Wiz по реагированию на уязвимости нулевого дня образы WizOS PHP предоставляются без списания биллинг-единиц для всех клиентов в течение следующих 60 дней. Базовые образы WizOS PHP (как стандартные сборки с защитой Alpine, так и сборки с поддержкой FIPS) уже исправлены от уязвимостей CVE-2026-109618 и CVE-2026-109619 и собраны из исходного кода.

Клиенты Wiz могут использовать Green Agent для перевода рекомендаций по Threat Intel для PHP2Shell в руководства по устранению уязвимостей с учетом особенностей ресурсов, включая назначение правильных версий патчей PHP, определение подходящих мер защиты WAF, рекомендации по переходу на защищенные образы WizOS PHP и предложение включить блокировку во время выполнения при обнаружении пробелов в защите.

Клиенты Wiz могут использовать Green Agent для перевода рекомендаций по Threat Intel для PHP2Shell в руководства по устранению уязвимостей с учетом особенностей ресурсов, включая назначение правильных версий патчей PHP, определение подходящих мер защиты WAF, рекомендации по переходу на защищенные образы WizOS PHP и предложение включить блокировку во время выполнения при обнаружении пробелов в защите.

Укрепление безопасности среды выполнения PHP до применения патчей

Если вы не можете обновить каждый бинарный файл немедленно, примените следующие настройки в основном файле запуска php.ini или в конфигурации статического пула FPM (php_admin_value / php_admin_flag) и перезапустите все рабочие процессы.

Поместите все настройки в главный файл php.ini: избегайте определения параметров для каждого отдельного запроса в файлах .htaccess или конфигурациях веб-сервера. Предупреждения, возникающие при загрузке этих временных настроек, срабатывают слишком рано и могут активировать уязвимые пути кода. Перемещение всех опций в глобальный php.ini позволяет предотвратить это.
Перезапускайте рабочие процессы после каждого запроса (pm.max_requests = 1): определенные атаки требуют повторного использования рабочего процесса в нескольких запросах. Установка параметра pm.max_requests = 1 в файле www.conf принудительно сбрасывает рабочие процессы после каждого запроса, блокируя многошаговые атаки на память.

Перезапускайте рабочие процессы после каждого запроса (pm.max_requests = 1): определенные атаки требуют повторного использования рабочего процесса в нескольких запросах. Установка параметра pm.max_requests = 1 в файле www.conf принудительно сбрасывает рабочие процессы после каждого запроса, блокируя многошаговые атаки на память.

Сокрытия сообщений об ошибках недостаточно: простая установка display_errors = Off не полностью блокирует атаки с утечкой памяти. Современные эксплойты могут извлекать конфиденциальную память напрямую через сверхбольшие файлы cookie сеансов или определенные страницы ошибок, даже если стандартный вывод ошибок отключен.

Сокрытия сообщений об ошибках недостаточно: простая установка display_errors = Off не полностью блокирует атаки с утечкой памяти. Современные эксплойты могут извлекать конфиденциальную память напрямую через сверхбольшие файлы cookie сеансов или определенные страницы ошибок, даже если стандартный вывод ошибок отключен.

Управление периферийным прокси-сервером и WAF

Поскольку синтаксический анализ multipart по RFC 1867 происходит до выполнения скрипта, обратные прокси-серверы и WAF служат важнейшими средствами защиты первой линии. Для защиты от недавних PoC средства защиты на периферии должны быть сосредоточены на смягчении четырех ключевых методов обхода защиты:

Блокируйте multipart/form-data на маршрутах, не предназначенных для загрузки: блокируйте многочастные запросы там, где загрузка файлов не требуется. Убедитесь, что регулярные выражения WAF соответствуют запятым и пробелам перед boundary= (например, (?i)^\s*multipart/form-data(?:[\s,;]|$)), чтобы предотвратить обход разделителей в парсере RFC 1867 PHP.

Блокируйте multipart/form-data на маршрутах, не предназначенных для загрузки: блокируйте многочастные запросы там, где загрузка файлов не требуется. Убедитесь, что регулярные выражения WAF соответствуют запятым и пробелам перед boundary= (например, (?i)^\s*multipart/form-data(?:[\s,;]|$)), чтобы предотвратить обход разделителей в парсере RFC 1867 PHP.

Отклоняйте фрагментированную передачу данных (chunked transfer encoding) и ограничивайте сложность тела запроса: отклоняйте POST-запросы с Transfer-Encoding: chunked, применяйте client_max_body_size 8m;, блокируйте глубоко вложенные имена полей со скобками (name\s*=\s*"?[^"\r\n]*(\[[^\]]*\]){8,}) и ограничивайте количество заголовков на одну часть multipart (<= 128) для предотвращения исчерпания кучи (heap amplification).

Отклоняйте передачу с фрагментированным кодированием и ограничивайте сложность тела запроса: отклоняйте POST-запросы с заголовком Transfer-Encoding: chunked, принудительно применяйте client_max_body_size 8m;, блокируйте глубоко вложенные имена полей в квадратных скобках (name\s*=\s*"?[^"\r\n]*(\[[^\]]*\]){8,}) и ограничивайте количество заголовков для каждой части multipart (<= 128) для предотвращения раздувания кучи.

Применяйте строгий формат файлов cookie и ограничения размера тела запроса: блокируйте файлы cookie PHPSESSID, содержащие нулевые байты или неалфавитно-цифровые символы вне диапазона ^[A-Za-z0-9,-]{22,256}$. Применяйте строгие ограничения на размер тела запроса для маршрутов, не предназначенных для загрузки, чтобы остановить крупное заполнение в многочастных запросах (multipart padding), обходящее окна проверки WAF.

Применяйте строгий формат файлов cookie и ограничения размера тела запроса: блокируйте файлы cookie PHPSESSID, содержащие нулевые байты или неалфавитно-цифровые символы вне диапазона ^[A-Za-z0-9,-]{22,256}$. Применяйте строгие ограничения на размер тела запроса для маршрутов, не предназначенных для загрузки, чтобы остановить крупное заполнение в многочастных запросах (multipart padding), обходящее окна проверки WAF.

Внедряйте ограничения входящего трафика: разрешайте входящий трафик к уязвимым или неисправленным общедоступным ресурсам только через WAF. Рассмотрите возможность применения дополнительных сетевых ограничений входящего трафика или отключения уязвимых веб-серверов до установки обновлений.

Внедряйте ограничения входящего трафика: разрешайте входящий трафик к уязвимым или неисправленным общедоступным ресурсам только через WAF. Рассмотрите возможность применения дополнительных сетевых ограничений входящего трафика или отключения уязвимых веб-серверов до установки обновлений.

Изоляция на уровне операционной системы и средства обнаружения

Поскольку нативная эксплуатация уязвимости типа use-after-free выполняется внутри рабочего процесса (worker process) — позволяя полезным нагрузкам для удаленного выполнения кода (RCE) обходить настройки безопасности PHP, — надежная изоляция на уровне операционной системы и мониторинг сети остаются критически важными как на этапе до установки обновлений, так и после него.

Корневые веб-директории только для чтения и ограничения cgroups в systemd/контейнерах: запускайте рабочие процессы PHP от имени выделенной непривилегированной учетной записи с доступом только для чтения ко всем корневым каталогам документов (через ProtectSystem=strict в systemd или readOnlyRootFilesystem: true в Kubernetes) наряду с NoNewPrivileges=yes. Ограничивайте общую память рабочего процесса с помощью cgroups (например, MemoryMax=2G) вместо LimitAS= или ulimit -v, которые заставляют mmap() возвращать NULL и вызывают уязвимый путь обработки нехватки памяти (out-of-memory).

Корневые веб-директории только для чтения и ограничения cgroups в systemd/контейнерах: запускайте рабочие процессы PHP от имени выделенной непривилегированной учетной записи с доступом только для чтения ко всем корневым каталогам документов (через ProtectSystem=strict в systemd или readOnlyRootFilesystem: true в Kubernetes) наряду с NoNewPrivileges=yes.

Ограничивайте общую память рабочего процесса с помощью cgroups (например, MemoryMax=2G) вместо LimitAS= или ulimit -v, которые заставляют mmap() возвращать NULL и вызывают уязвимый путь обработки нехватки памяти (out-of-memory).

Блокируйте сетевые соединения и ограничивайте выполнение процессов: блокируйте исходящий интернет-трафик с PHP-серверов с помощью правил сетевой безопасности, чтобы помешать злоумышленникам скачивать вредоносные файлы или создавать удаленные оболочки (shells). Кроме того, используйте средства контроля безопасности процессов или мониторинг среды выполнения (runtime), чтобы не позволить PHP запускать инструменты командной строки, такие как /bin/sh, curl или wget.

Блокируйте сетевые соединения и ограничивайте выполнение процессов: блокируйте исходящий интернет-трафик с PHP-серверов с помощью правил сетевой безопасности, чтобы помешать злоумышленникам скачивать вредоносные файлы или создавать удаленные оболочки (shells). Кроме того, используйте средства контроля безопасности процессов или мониторинг среды выполнения (runtime), чтобы не позволить PHP запускать инструменты командной строки, такие как /bin/sh, curl или wget.