Атаки на PHP-уязвимости уже начались: российским сайтам на «1С-Битрикс» и других CMS рекомендуют срочно готовиться к обновлению

Команда информационной безопасности PHP обнаружила и устранила две критические уязвимости с рейтингом 9.2 по CVSS 4.0. Разработчики предупредили о предстоящем выпуске обновления, которое запланировано на 21 октября, 17:00 по московскому времени, следует из заявления PHP, в котором настоятельно рекомендуется подготовиться к обновлению.

Telegram-канал «1С-Битрикс Безопасность» также опубликовал предупреждение о предстоящем обновлении: в компании рекомендуют владельцам сайтов на «1С-Битрикс: Управление сайтом» и коробочного «Битрикс24» подготовить срочное обновление PHP на своих серверах.

В компании рекомендуют связаться с администратором, обслуживающим партнером или хостингом и попросить проверить используемую версию PHP. После выхода патча советуют оперативно установить подходящее обновление с учетом системы, а затем проверить работу сайта, включая загрузку файлов и интеграции.

«PHP обновляется на уровне сервера, отдельно от обновлений продукта через SiteUpdate. Если вы не администрируете сервер самостоятельно, передайте эту информацию специалистам, которые его обслуживают», — следует из сообщения «1С-Битрикс Безопасность». Если оперативно установить патч невозможно, то CERT-UA рекомендует рассмотреть временное ограничение доступа из интернета.

«Обсуждаемая в предварительных публикациях настройка session.upload_progress.enabled = 0 пока не подтверждена как защита от обеих уязвимостей и не заменяет обновление PHP», — следует из сообщения «1С-Битрикс Безопасность».

В чем заключается уязвимость

Российский ИБ-вендор Metascan опубликовал в своем Telegram-канале разбор вышеупомянутых критических уязвимостей — CVE-2026-109618 и CVE-2026-109619. CVE в ядре позволяют удаленное выполнение кода без аутентификации, угроза нависла над всеми версиями, начиная с PHP 5.4. PoC-эксплойты уже появились в открытом доступе.

«Ошибки находятся в обработчике прогресса загрузки файлов (session.upload_progress). Этот механизм включён по умолчанию и срабатывает на любой POST-запрос с multipart/form-data, даже если приложение не работает с загрузкой файлов», — пишет Metascan.

Исправления, выпуск которых запланирован на 21 октября, 17:00 по московскому времени, предназначены для веток 8.2, 8.3, 8.4, 8.5. Для более старых версий официальных исправлений не будет, эти серверы нужно обновлять до поддерживаемой ветки.

В Metascan предложили несколько компенсирующих мер, которые позволят снизить риск инцидента до выхода патча.

• Указать в php.ini:
  session.upload_progress.enabled = Off
  session.use_strict_mode = 1
  
• В каждом пуле PHP-FPM (например, /etc/php/8.3/fpm/pool.d/www.conf):
  php_admin_flag[session.upload_progress.enabled] = off
  php_admin_flag[session.use_strict_mode] = on
  
• Блокировать запросы на уровне WAF. Для эксплуатации нужен POST-запрос с полем PHP_SESSION_UPLOAD_PROGRESS. Если используется WAF, рекомендуется блокировать такие запросы до того, как они дойдут до PHP.

Аналитики Patchstack уже сообщили об активной эксплуатации уязвимостей у нескольких хостинг-партнеров. Также о первых попытках атак сообщает Cloudflare. Отмечается, что уязвимость может затронуть сайты на базе WordPress, Drupal, Magento, Joomla, Laravel.

В качестве меры предосторожности часть организаций отключает свои сервисы. Так, голландская телекомпания NOS сообщила о недоступности сайтов DigiD, MijnOverheid, веб-сайта Палаты представителей Нидерландов, Tweakers и собственного сайта Национального центра кибербезопасности Нидерландов, сообщают в Patchstack.