समीक्षा
यह लेख PHP रिमोट कोड निष्पादन (RCE) कमजोरियों CVE-2026-109618 और CVE-2026-109619 को वर्णित करता है, जिसे सामूहिक रूप से PHP2Shell के रूप में जाना जाता है, और Cato की प्रतिक्रिया।
दोनों कमजोरियों की CVSS v4.0 स्कोर 9.2 (गंभीर) है। सफल एक्सप्लॉइटेशन अनाधिकृत अटैकर को PHP वेब वर्कर के विशेषाधिकारों के साथ कोड निष्पादित करने की अनुमति दे सकती है।
Cato उत्पादन वातावरण पर कोई प्रभाव नहीं है, और IPS सुरक्षा Cato ग्राहकों की रक्षा के लिए प्रकाशित की गई थी।
पृष्ठभूमि और प्रभाव
21 अक्टूबर, 2026 को, PHP विकास टीम ने PHP कोर में दो कमजोरियों को संबोधित करने के लिए आपातकालीन सुरक्षा अपडेट जारी किए:
CVE-2026-109618: आउट-ऑफ-मेमोरी हैंडलिंग आंतरिक अनुरोध डेटा को आंशिक रूप से प्रारंभित छोड़ सकती है। अनुरोध सफाई के दौरान इस अमान्य डेटा को संसाधित करने से RCE हो सकता है
CVE-2026-109619: आंतरिक राज्य एक पहले के अनुरोध के बाद मुक्त की गई मेमोरी को संदर्भित कर सकता है। वही कार्यकर्ता द्वारा संभाले गए एक बाद के अनुरोध इस पुरानी स्थिति को एक्सेस कर सकते हैं, जिससे RCE हो सकता है
विशेष रूप से तैयार किए गए वेब अनुरोध कमजोर प्रसंस्करण पथों को ट्रिगर कर सकते हैं। PHP संस्करण, कॉन्फ़िगरेशन, रनटाइम, और अनुप्रयोग व्यवहार पर एक्सप्लॉइटबिलिटी निर्भर करती है।
पर्यावरण
PHP सभी PHP इंस्टॉलेशन को संभावित खतरे में मानने की सलाह देता है, वेब अनुरोध को सेवा देने वाले, जिसमें PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP, और LiteSpeed शामिल हैं।
निम्नलिखित रिलीज़ में दोनों कमजोरियों के लिए फिक्स शामिल हैं:
PHP शाखा | फिक्स्ड संस्करण |
PHP 8.2 | 8.2.35 |
PHP 8.3 | 8.3.36 |
PHP 8.4 | 8.4.27 |
PHP 8.5 | 8.5.12 |
PHP 8.1 और पहले के संस्करण अब PHP परियोजना द्वारा समर्थित नहीं हैं। यदि आप विक्रेता द्वारा बनाए गए पैकेज का उपयोग करते हैं, तो अपने विक्रेता की सलाह को बैकपोर्टेड सुधारों के लिए जांचें। अन्यथा, समर्थित, पैच रिलीज़ में अपग्रेड करें।
Cato क्या कर रहा है?
Cato उत्पादन वातावरण पर कोई प्रभाव नहीं है।
Cato अतिरिक्त एक्सप्लॉइटेशन विधियों के लिए निगरानी जारी रखता है और नई जानकारी उपलब्ध होने पर हस्ताक्षरों को अपडेट कर सकता है।
Cato ने आधिकारिक पैचों के विश्लेषण और सार्वजनिक रूप से रिपोर्ट की गई एक्सप्लॉइट गतिविधि के आधार पर IPS हस्ताक्षर विकसित किए। Cato ने अपने ग्राहकों की सुरक्षा के लिए हस्ताक्षर प्रकाशित किए।
Cato के अक्टूबर 22 के मूल्यांकन के अनुसार, Cato ने सुरक्षा स्कैनिंग गतिविधि देखी थी लेकिन Cato ग्राहकों को लक्षित करने के एक्सप्लॉइट प्रयास नहीं देखे थे।
मुझे क्या करने की आवश्यकता है?
प्रभावित PHP इंस्टॉलेशन को दोनों कमजोरियों के लिए फिक्स शामिल करने वाले रिलीज़ में तुरंत अपडेट करें। यदि PHP एक थर्ड-पार्टी उत्पाद या प्रबंधित सेवा में शामिल है, तो उस विक्रेता के सुधार मार्गदर्शन का पालन करें।
IPS हस्ताक्षर एक अतिरिक्त सुरक्षा स्तर प्रदान करते हैं और प्रभावित सिस्टमों को पैचिंग को प्रतिस्थापित नहीं करते हैं।
यदि आप तुरंत पैच नहीं कर सकते, तो PHP सुरक्षा सलाह में दी गई अस्थायी शमन मार्गदर्शन का पालन करें। PHP कहता है कि अस्थायी कॉन्फ़िगरेशन परिवर्तन विशेष आक्रमण मार्गों के संपर्क को कम करते हैं लेकिन पूरी सुरक्षा प्रदान नहीं करते हैं।