Cloudflare съобщава, че наблюдава ранни опити за експлоатация на две критични уязвимости в PHP, подробностите за които се появиха преди планираното им публикуване от екипа по сигурността на PHP. Компанията внедри начален набор от правила за защитната стена за уеб приложения (WAF), за да блокира известните модели на експлоатация. Cloudflare посочва, че правилата са достъпни за всички клиенти, включително за тези на безплатни планове, и че ги обновява с появата на нови модели.
Предупреждението засилва спешността за екипите, поддържащи уебсайтове на PHP, но правилата на защитната стена са само временен слой на защита. Главният технологичен директор на Cloudflare, Дейн Нехт, заяви, че клиентите трябва да инсталират корекции за сигурност веднага щом PHP публикува своето обновление за сигурност. Към момента на написване пускането на корекциите е насрочено за 14:00 UTC на 21 октомври (19:30 IST).
Публичните доклади проследяват дефектите като CVE-2026-109618 и CVE-2026-109619. Екипът по сигурността на PHP класифицира и двата като критични с оценка 9.2 по CVSS v4.0. Изследователи и доклади за сигурност ги описват като уязвимости за отдалечено изпълнение на код — тип дефект, който може да позволи на атакащ да изпълни код на уязвим сървър. PHP все още не е публикувал пълни технически подробности, включително засегнатите компоненти, точните пътища на атака или потвърдените уязвими версии.
Информацията стана публична преди планираното оповестяване и пускане на обновлението за сигурност. Екипът на PHP обяви по-ранна дата на пускане след изтичането на информацията и посочи, че може да измести пускането още по-рано, ако техническите подробности станат публични или ако бъдат открити доказателства за активна експлоатация. Предупреждението на Cloudflare показва, че вече се появяват опити за атака, въпреки че компанията не е споделила доказателства или подробности, които биха позволили на читателите да оценят техния мащаб или успеваемост.
WAF проверява уеб заявките и може да блокира трафик, който съответства на известни вредни модели. Тези правила могат да намалят риска от излагане, докато администраторите подготвят обновления, но не могат да заменят отстраняването на уязвимостите в основния код на PHP.
Нови модели на експлойти от типа PHP2Shell могат също така да избегнат правилата, написани за известни заявки. Cloudflare споделя, че адаптира защитите си с появата на нови вектори, но описва правилата като временно решение.
Организациите трябва да идентифицират всяка система с достъп до интернет, която използва PHP, включително сайтове, изградени със системи за управление на съдържанието (CMS), и софтуер, който включва своя собствена среда за изпълнение на PHP. Администраторите трябва да следят официалните бюлетини за сигурност на PHP и каналите за обновления на своите операционни системи или хостинг доставчици.
След като коригираните версии станат налични, те трябва да проверят засегнатите версии и своевременно да приложат правилното обновление. Екипите трябва също така да проверят дали техният WAF е активиран и дали съответните правила са настроени да блокират, а не само да регистрират подозрителни заявки, както Cloudflare препоръчва на своите платени клиенти.
След отстраняване на уязвимостта специалистите по защита трябва да прегледат логовете на уеб сървъра и PHP за необичайни заявки и да проверят дали работните процеси на PHP са стартирали неочаквани програми. Екипите по сигурност трябва да разследват подозрителната дейност, вместо да приемат, че блокирането от WAF означава, че до системата никога не е било достигнато. Ако даден сървър показва признаци на компрометиране, запазете логовете и следвайте процедурата на организацията за реагиране при инциденти.
Инцидентът също така показва как изтичането на информация за уязвимост може да съкрати времето за подготовка на защитниците. Широкото разпространение на PHP в уебсайтове и хостинг услуги означава, че администраторите може да се наложи да открият среди за изпълнение извън основния си инвентар от приложения.
Докладите сочат, че дефектите могат да засягат по-стари версии на PHP, но официалният списък със засегнати версии все още се очаква, така че организациите трябва да избягват да разчитат на предварителни твърдения.