Проблема кроется в системных сбоях управления памятью при обработке критических ошибок (в частности, при нехватке оперативной памяти — Out of Memory). Когда процесс аварийно прерывается, внутренние структуры остаются инициализированными лишь частично, либо глобальные указатели начинают ссылаться на уже очищенные регистры памяти. Повторные multipart-запросы к тому же рабочему воркеру PHP-FPM или Apache mod_php позволяют хакерам использовать это нестабильное состояние для выполнения сторонних команд. Из-за критического рейтинга опасности (9.2 из 10 по шкале CVSS) Агентство кибербезопасности США (CISA) немедленно внесло эти уязвимости в список активно эксплуатируемых в дикой природе, а многие крупные порталы по всему миру предпочли временно уйти в офлайн до установки исправлений.

На данный момент гарантированно безопасными признаны исключительно экстренные релизы 8.5.12, 8.4.27, 8.3.36 и 8.2.35, в которых разработчики полностью изолировали опасные механизмы работы с памятью во всех поддерживаемых ветках интерпретатора. Владельцам серверов настоятельно рекомендуется провести инвентаризацию систем и обновиться в ручном режиме, так как автоматические апдейты могут отрабатывать с задержкой. Для старых неподдерживаемых веток (PHP 8.1 и младше) официальных патчей не предусмотрено, поэтому администраторам придется либо мигрировать на актуальные релизы, либо временно отключать уязвимые модули обработки сессий.

21.10.26
wb0.ru