Sliktas ziņas visiem, kas tur savus saitus, ieskaitot WooCommerce veikalus un WordPress blogus, uz PHP bāzes — ir atklātas divas masīvas, kritiskas ievainojamības, un watchTowr jau fiksē aktīvus izmantošanas mēģinājumus. Pēc tam, kad “Hacker News” noplūda informācija par šīm kļūdām, PHP komanda bija spiesta sasteigt drošības atjauninājumu izlaišanu, izlaižot to jau trešdien, 21. oktobrī. Šis nav kārtējais sīkums; mēs runājam par neautentificētu RCE (Remote Code Execution) ar tīmekļa strādnieka (web worker) privilēģijām, kas nozīmē, ka uzbrucējam pat nevajag tavu paroli, lai izpildītu savus skriptus.
Problēma slēpjas pašā PHP interpretatorā, nevis kādā līkā CMS spraudnī. Drošības pētnieki no Wiz atklāja, ka ievainojamības ļauj iegūt kontroli vēl pirms vispār sāk darboties tavas aplikācijas kods, un interesanti, ka šo kļūdu atklāšanā un exploit izstrādē pētniekiem palīdzēja mākslīgā intelekta modeļi Gemini 4 Argon un GPT-5.6 Sol.
Kā darbojas PHP2Shell (CVE-2026-109618 un CVE-2026-109619)
Abas ievainojamības saņēmušas brutālu 9.2 reitingu no 10 (CVSS 4.0 sistēmā). Ja tavs serveris izmanto Apache ar mod_php, tu esi tiešajā uguns līnijā, jo šī konfigurācija izsauc pieprasījuma izslēgšanas procedūru pat tad, ja pieprasījuma inicializācija ir nofeilojusi. Lūk, tehniskie iemesli, kāpēc serveri masveidā ir apdraudēti:
- OOM kļūdas izmantošana: Pirmais caurums (CVE-2026-109618) rodas, kad PHP mēģina tikt galā ar atmiņas trūkumu. Uzbrucējs ar specifisku multipart pieprasījumu var izsaukt atmiņas kļūdu, atstājot datus daļēji inicializētus, kurus slēgšanas procedūra pēc tam nolasa kā derīgus.
- Stāvokļa saglabāšanās: Otrā kļūda (CVE-2026-109619) ļauj globālajam stāvoklim izdzīvot ilgāk par pašu pieprasījumu, radot tā saukto use-after-free situāciju. Ja process nobrūk (fatal error), atmiņa netiek notīrīta, un nākamais pieprasījums tajā pašā procesā var izmantot atstātos datus.
- Skarti pilnīgi visi bez izņēmuma: Atšķirībā no daudzām kļūdām, šī notiek tik zemos līmeņos, ka tavam kodam pat nav jāpieslēdz sesijas (session_start) funkcija.
Atjauninājumi un pagaidu mitigācija
Vienīgais simtprocentīgais fix ir tūlītējs PHP atjauninājums. Labojumi ir iešūti jaunajās versijās 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Vecākās, neatbalstītās versijas, kā 7.4, 8.0 un 8.1 saņem tikai minimālus koda labojumus (backports). Ja servera apgreids uzreiz nav iespējams, PHP iesaka administratīvi iestatīt memory_limit=-1 un atslēgt session.upload_progress.enabled=0, bet atceries — tie nav pilnvērtīgi risinājumi.
Mums kā digitālā satura, affiliate tīklu un e-komercijas uzturētājiem šis ir masīvs trauksmes zvans. Ja portāla infrastruktūra vai HTML5 spēļu kataloga datubāze sēž uz vāja un neatjaunināta PHP setupa, visi servera faili un lietotāju dati ir kā uz paplātes. Atcerēsimies mūsu noteikumu — aizsargāt biznesa aktīvus ir prioritāte numur viens. Vai tu jau pārbaudīji un uzliki jaunāko PHP versiju savam serverim?
