EN

Tilkynna atvik
Tilkynna atvik
  • Frettasafn
  • /
  • frett
  • /
  • Fréttir
  • Alvarlegir veikleikar í PHP

Alvarlegir veikleikar í PHP

Uppfært kl: 13:47: PHP teymið hefur gefið út uppfærslu fyrir veikleikunum. Hægt er að nálgast þá hér: https://www.php.net/archive/2026.php#2026-10-21-5.

Uppfært kl: 11:30: Fréttin hefur verið uppfærð með mildunaraðgerðum. Sjá kafla neðar í fréttinni.

Uppfært kl: 10:30: Samkvæmt upplýsingum frá Cloudflare hafa þeir gripið til mildunaraðgerða hjá sínum viðskiptavinum, en þær virka eingöngu ef vefeldveggurinn (Web Application Firewall) er virkur og ekki búið að breyta honum á þann veg að hann skrifi í atburðarlínu heldur stöðvi fyrirspurnirnar.

CERT-IS varar við tveimur alvarlegum veikleikum í PHP sem geta leyft fjarkeyrslu kóða á vefþjónum án auðkenningar.

PHP gefur út lagfæringu í dag, 21 október, kl. 14:00 UTC. Upplýsingar um veikleikana hafa lekið og spillikóði er í umferð, margir segjast staðfesta virkni hans (sjá hlekki neðst). 

CERT-IS hvetur fyrirtæki og stofnanir sem reka PHP í einhverri mynd að undirbúa uppfærslu strax og uppfæra um leið og lagfæring er birt. Ef útgáfan er þegar komin út þegar þessi viðvörun berst skal uppfæra án tafar. 

Mjög er á reiki hvort hægt sé að setja inn stillingar til að halda veikleikann í skefjum og eru misvísandi sögur um virkni þeirra. 

Reiknað er með uppfærslu í síðasta lagi klukkan 14:00 í dag, 21. október. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikarnir hafa verið lagfærðir. 

Uppfært kl: 13:47: PHP teymið hefur gefið út uppfærslu fyrir veikleikunum. Hægt er að nálgast þá hér: https://www.php.net/archive/2026.php#2026-10-21-5.

Hvað er vitað?

 

  • Tveir veikleikar, CVSS einkunn 9.2 Staðfest af PHP 
  • Útgáfa lagfæringar kemur 21. október kl. 14:00 UTC, mögulega fyrr. Staðfest af PHP
  • Fjarkeyrsla kóða án auðkenningar Staðfest af watchTowr 
  • Ná til PHP 5, 7 og 8 Óstaðfest 
  • Galli í upphleðslueftirliti lota (session.upload_progress) Líklega staðfest, umdeilt 
  • Misnotkun í umferð Ekki staðfest þegar þetta er ritað en mikill fjöldi myndbanda á samfélagsmiðlum virðast staðfesta virkni 

Allir vefþjónar sem keyra PHP og taka við beiðnum af internetinu, óháð vefkerfi (WordPress, Drupal, Joomla, Magento, Roundcube, Nextcloud, Moodle, sérsmíðuð kerfi) virðast vera útsettir fyrir veikleikanum. Birtar hafa verið nokkrar mildunaraðgerðir en virkni þeirra er umdeild. 

Tillaga að aðgerðum fyrir kl. 14:00 - 21. október

  1. Undirbúið uppfærslu. Takið frá tíma og fólk kl. 14:00. Hafið samband við hýsingaraðila og verktaka strax í dag og fáið staðfesta tímaáætlun.
  2. Mildunaraðgerðir (óstaðfestar). Slökkvið á upphleðslueftirliti lota (session.upload_progress) nema vefkerfi noti það: session.upload_progress.enabled = Off í php.ini, .user.ini, .htaccess eða FPM-pool stillingum. Endurræsið PHP-FPM eða vefþjón og staðfestið með php -i | grep upload_progress. Athugið: óvíst er hvort þetta verji gegn raunverulegu veikleikunum. Þetta kemur ekki í stað uppfærslu. 
  3. Takmarkið multipart-beiðnir á vefþjóni beint. Lokið á eða takmarkið multipart/form-data POST-beiðnir í WAF eða reverse proxy þar sem það er mögulegt.
  4. Íhugið einangrun. Ónauðsynlegir PHP-vefir sem snúa að internetinu sem mega liggja niðri ættu að vera teknir af netinu eða settir á bak við aðgangsstýringu þar til uppfært hefur verið. SELinux eða AppArmor geta lágmarkað tjón ef árás heppnast við nýtingu veikleikans. 

Þegar uppfærslan er gefin út

 
  1. Uppfærið í lagaða útgáfu um leið og hún er birt á php.net. Treystið eingöngu opinberum útgáfunúmerum, ekki orðrómi. 
  2. Endurræsið PHP-FPM eða vefþjón og staðfestið útgáfu á öllum þjónum með php -v. 
  3. Fylgist með öryggistilkynningum Linux-dreifinga (Debian, Ubuntu, RHEL, Alpine) ef PHP er sett upp úr pakkasafni. 
  4. Kerfi á PHP 8.1 eða eldra: uppfærið í studda útgáfu eða fáið bakfærða lagfæringu frá birgja. Ef hvorugt er hægt, einangrið kerfið. 

Greining og vöktun

  1. Hrun PHP-ferla: færslur á borð við exited on signal 11 (SIGSEGV) í PHP-FPM log eða Segmentation fault í villuskrá Apache, sérstaklega í kjölfar POST-beiðna. 
  2. Grunsamlegar fyrirspurnir: hraðar multipart/form-data POST-beiðnir sem innihalda reitinn PHP_SESSION_UPLOAD_PROGRESS, einkum á slóðir sem taka ekki við upphleðslu. 
  3. Undirferli vefþjóns: skeljar og tól (sh, bash, curl, wget, python, perl, nc) ræst af notanda vefþjónustu (www-data, apache, nginx). 
  4. Ummerki eftir innbrot: nýjar eða breyttar .php-skrár í vefrót (vefskeljar), ný cron-verk og óvæntar úttengingar frá vefþjónum. 
Þar sem árásir geta hafist áður en uppfært er, skal fara yfir atburðarskrár aftur í tímann eftir uppfærslu. Tilkynningar og framhald. Vinsamlegast tilkynnið grun um misnotkun eða innbrot til CERT-IS á [email protected].    

Mildunaraðgerðir

Tekið skal fram að eftirfarandi mildunaraðgerðir koma frá netöryggissamfélaginu en ekki frá útgefendum PHP forritunarmálsins. Þeir hafa jafnframt ítrekað að þessar mildunaraðgerðir duga ekki að öllu leiti og er eina örugga í stöðunni að uppfæra um leið og uppfærsla er í boði.

Einnig skal tekið fram að eftirfarandi mildunaraðgerðir hafa neikvæð áhrif því þær geta brotið virkni sem nauðsynleg er fyrir vefsíðuna, þar sem þær koma í veg fyrir að hægt sé að hala upp skrám inn.

Fyrir Apache vefþjóna: hægt að setja bæði í .htaccess skrár eða inn í <VirtualHost> stillingar beint.

RewriteEngine on
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F,L]

Fyrir nginx vefþjóna:

if ($http_content_type ~* "multipart") { return 403; }

CERT-IS biðlar til rekstraraðila að fara varlega með þessar breytingar.

Tilvísanir

Uppfært kl: 13:47: PHP teymið hefur gefið út uppfærslu fyrir veikleikunum. Hægt er að nálgast þá hér: https://www.php.net/archive/2026.php#2026-10-21-5.

Uppfært kl: 11:30: Fréttin hefur verið uppfærð með mildunaraðgerðum. Sjá kafla neðar í fréttinni.

Uppfært kl: 10:30: Samkvæmt upplýsingum frá Cloudflare hafa þeir gripið til mildunaraðgerða hjá sínum viðskiptavinum, en þær virka eingöngu ef vefeldveggurinn (Web Application Firewall) er virkur og ekki búið að breyta honum á þann veg að hann skrifi í atburðarlínu heldur stöðvi fyrirspurnirnar.

CERT-IS varar við tveimur alvarlegum veikleikum í PHP sem geta leyft fjarkeyrslu kóða á vefþjónum án auðkenningar.

PHP gefur út lagfæringu í dag, 21 október, kl. 14:00 UTC. Upplýsingar um veikleikana hafa lekið og spillikóði er í umferð, margir segjast staðfesta virkni hans (sjá hlekki neðst). 

CERT-IS hvetur fyrirtæki og stofnanir sem reka PHP í einhverri mynd að undirbúa uppfærslu strax og uppfæra um leið og lagfæring er birt. Ef útgáfan er þegar komin út þegar þessi viðvörun berst skal uppfæra án tafar. 

Mjög er á reiki hvort hægt sé að setja inn stillingar til að halda veikleikann í skefjum og eru misvísandi sögur um virkni þeirra. 

Reiknað er með uppfærslu í síðasta lagi klukkan 14:00 í dag, 21. október. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikarnir hafa verið lagfærðir. 

Uppfært kl: 13:47: PHP teymið hefur gefið út uppfærslu fyrir veikleikunum. Hægt er að nálgast þá hér: https://www.php.net/archive/2026.php#2026-10-21-5.

Hvað er vitað?

 

  • Tveir veikleikar, CVSS einkunn 9.2 Staðfest af PHP 
  • Útgáfa lagfæringar kemur 21. október kl. 14:00 UTC, mögulega fyrr. Staðfest af PHP
  • Fjarkeyrsla kóða án auðkenningar Staðfest af watchTowr 
  • Ná til PHP 5, 7 og 8 Óstaðfest 
  • Galli í upphleðslueftirliti lota (session.upload_progress) Líklega staðfest, umdeilt 
  • Misnotkun í umferð Ekki staðfest þegar þetta er ritað en mikill fjöldi myndbanda á samfélagsmiðlum virðast staðfesta virkni 

Allir vefþjónar sem keyra PHP og taka við beiðnum af internetinu, óháð vefkerfi (WordPress, Drupal, Joomla, Magento, Roundcube, Nextcloud, Moodle, sérsmíðuð kerfi) virðast vera útsettir fyrir veikleikanum. Birtar hafa verið nokkrar mildunaraðgerðir en virkni þeirra er umdeild. 

Tillaga að aðgerðum fyrir kl. 14:00 - 21. október

  1. Undirbúið uppfærslu. Takið frá tíma og fólk kl. 14:00. Hafið samband við hýsingaraðila og verktaka strax í dag og fáið staðfesta tímaáætlun.
  2. Mildunaraðgerðir (óstaðfestar). Slökkvið á upphleðslueftirliti lota (session.upload_progress) nema vefkerfi noti það: session.upload_progress.enabled = Off í php.ini, .user.ini, .htaccess eða FPM-pool stillingum. Endurræsið PHP-FPM eða vefþjón og staðfestið með php -i | grep upload_progress. Athugið: óvíst er hvort þetta verji gegn raunverulegu veikleikunum. Þetta kemur ekki í stað uppfærslu. 
  3. Takmarkið multipart-beiðnir á vefþjóni beint. Lokið á eða takmarkið multipart/form-data POST-beiðnir í WAF eða reverse proxy þar sem það er mögulegt.
  4. Íhugið einangrun. Ónauðsynlegir PHP-vefir sem snúa að internetinu sem mega liggja niðri ættu að vera teknir af netinu eða settir á bak við aðgangsstýringu þar til uppfært hefur verið. SELinux eða AppArmor geta lágmarkað tjón ef árás heppnast við nýtingu veikleikans. 

Þegar uppfærslan er gefin út

 
  1. Uppfærið í lagaða útgáfu um leið og hún er birt á php.net. Treystið eingöngu opinberum útgáfunúmerum, ekki orðrómi. 
  2. Endurræsið PHP-FPM eða vefþjón og staðfestið útgáfu á öllum þjónum með php -v. 
  3. Fylgist með öryggistilkynningum Linux-dreifinga (Debian, Ubuntu, RHEL, Alpine) ef PHP er sett upp úr pakkasafni. 
  4. Kerfi á PHP 8.1 eða eldra: uppfærið í studda útgáfu eða fáið bakfærða lagfæringu frá birgja. Ef hvorugt er hægt, einangrið kerfið. 

Greining og vöktun

  1. Hrun PHP-ferla: færslur á borð við exited on signal 11 (SIGSEGV) í PHP-FPM log eða Segmentation fault í villuskrá Apache, sérstaklega í kjölfar POST-beiðna. 
  2. Grunsamlegar fyrirspurnir: hraðar multipart/form-data POST-beiðnir sem innihalda reitinn PHP_SESSION_UPLOAD_PROGRESS, einkum á slóðir sem taka ekki við upphleðslu. 
  3. Undirferli vefþjóns: skeljar og tól (sh, bash, curl, wget, python, perl, nc) ræst af notanda vefþjónustu (www-data, apache, nginx). 
  4. Ummerki eftir innbrot: nýjar eða breyttar .php-skrár í vefrót (vefskeljar), ný cron-verk og óvæntar úttengingar frá vefþjónum. 
Þar sem árásir geta hafist áður en uppfært er, skal fara yfir atburðarskrár aftur í tímann eftir uppfærslu. Tilkynningar og framhald. Vinsamlegast tilkynnið grun um misnotkun eða innbrot til CERT-IS á [email protected].    

Mildunaraðgerðir

Tekið skal fram að eftirfarandi mildunaraðgerðir koma frá netöryggissamfélaginu en ekki frá útgefendum PHP forritunarmálsins. Þeir hafa jafnframt ítrekað að þessar mildunaraðgerðir duga ekki að öllu leiti og er eina örugga í stöðunni að uppfæra um leið og uppfærsla er í boði.

Einnig skal tekið fram að eftirfarandi mildunaraðgerðir hafa neikvæð áhrif því þær geta brotið virkni sem nauðsynleg er fyrir vefsíðuna, þar sem þær koma í veg fyrir að hægt sé að hala upp skrám inn.

Fyrir Apache vefþjóna: hægt að setja bæði í .htaccess skrár eða inn í <VirtualHost> stillingar beint.

RewriteEngine on
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F,L]

Fyrir nginx vefþjóna:

if ($http_content_type ~* "multipart") { return 403; }

CERT-IS biðlar til rekstraraðila að fara varlega með þessar breytingar.

Tilvísanir

Facebook Twitter Linkedin Google-plus-g Pinterest Envelope

Uppfært kl: 13:47: PHP teymið hefur gefið út uppfærslu fyrir veikleikunum. Hægt er að nálgast þá hér: https://www.php.net/archive/2026.php#2026-10-21-5.

Uppfært kl: 11:30: Fréttin hefur verið uppfærð með mildunaraðgerðum. Sjá kafla neðar í fréttinni.

Uppfært kl: 10:30: Samkvæmt upplýsingum frá Cloudflare hafa þeir gripið til mildunaraðgerða hjá sínum viðskiptavinum, en þær virka eingöngu ef vefeldveggurinn (Web Application Firewall) er virkur og ekki búið að breyta honum á þann veg að hann skrifi í atburðarlínu heldur stöðvi fyrirspurnirnar.

CERT-IS varar við tveimur alvarlegum veikleikum í PHP sem geta leyft fjarkeyrslu kóða á vefþjónum án auðkenningar.

PHP gefur út lagfæringu í dag, 21 október, kl. 14:00 UTC. Upplýsingar um veikleikana hafa lekið og spillikóði er í umferð, margir segjast staðfesta virkni hans (sjá hlekki neðst). 

CERT-IS hvetur fyrirtæki og stofnanir sem reka PHP í einhverri mynd að undirbúa uppfærslu strax og uppfæra um leið og lagfæring er birt. Ef útgáfan er þegar komin út þegar þessi viðvörun berst skal uppfæra án tafar. 

Mjög er á reiki hvort hægt sé að setja inn stillingar til að halda veikleikann í skefjum og eru misvísandi sögur um virkni þeirra. 

Reiknað er með uppfærslu í síðasta lagi klukkan 14:00 í dag, 21. október. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikarnir hafa verið lagfærðir. 

Uppfært kl: 13:47: PHP teymið hefur gefið út uppfærslu fyrir veikleikunum. Hægt er að nálgast þá hér: https://www.php.net/archive/2026.php#2026-10-21-5.

Hvað er vitað?

 

  • Tveir veikleikar, CVSS einkunn 9.2 Staðfest af PHP 
  • Útgáfa lagfæringar kemur 21. október kl. 14:00 UTC, mögulega fyrr. Staðfest af PHP
  • Fjarkeyrsla kóða án auðkenningar Staðfest af watchTowr 
  • Ná til PHP 5, 7 og 8 Óstaðfest 
  • Galli í upphleðslueftirliti lota (session.upload_progress) Líklega staðfest, umdeilt 
  • Misnotkun í umferð Ekki staðfest þegar þetta er ritað en mikill fjöldi myndbanda á samfélagsmiðlum virðast staðfesta virkni 

Allir vefþjónar sem keyra PHP og taka við beiðnum af internetinu, óháð vefkerfi (WordPress, Drupal, Joomla, Magento, Roundcube, Nextcloud, Moodle, sérsmíðuð kerfi) virðast vera útsettir fyrir veikleikanum. Birtar hafa verið nokkrar mildunaraðgerðir en virkni þeirra er umdeild. 

Tillaga að aðgerðum fyrir kl. 14:00 - 21. október

  1. Undirbúið uppfærslu. Takið frá tíma og fólk kl. 14:00. Hafið samband við hýsingaraðila og verktaka strax í dag og fáið staðfesta tímaáætlun.
  2. Mildunaraðgerðir (óstaðfestar). Slökkvið á upphleðslueftirliti lota (session.upload_progress) nema vefkerfi noti það: session.upload_progress.enabled = Off í php.ini, .user.ini, .htaccess eða FPM-pool stillingum. Endurræsið PHP-FPM eða vefþjón og staðfestið með php -i | grep upload_progress. Athugið: óvíst er hvort þetta verji gegn raunverulegu veikleikunum. Þetta kemur ekki í stað uppfærslu. 
  3. Takmarkið multipart-beiðnir á vefþjóni beint. Lokið á eða takmarkið multipart/form-data POST-beiðnir í WAF eða reverse proxy þar sem það er mögulegt.
  4. Íhugið einangrun. Ónauðsynlegir PHP-vefir sem snúa að internetinu sem mega liggja niðri ættu að vera teknir af netinu eða settir á bak við aðgangsstýringu þar til uppfært hefur verið. SELinux eða AppArmor geta lágmarkað tjón ef árás heppnast við nýtingu veikleikans. 

Þegar uppfærslan er gefin út

 
  1. Uppfærið í lagaða útgáfu um leið og hún er birt á php.net. Treystið eingöngu opinberum útgáfunúmerum, ekki orðrómi. 
  2. Endurræsið PHP-FPM eða vefþjón og staðfestið útgáfu á öllum þjónum með php -v. 
  3. Fylgist með öryggistilkynningum Linux-dreifinga (Debian, Ubuntu, RHEL, Alpine) ef PHP er sett upp úr pakkasafni. 
  4. Kerfi á PHP 8.1 eða eldra: uppfærið í studda útgáfu eða fáið bakfærða lagfæringu frá birgja. Ef hvorugt er hægt, einangrið kerfið. 

Greining og vöktun

  1. Hrun PHP-ferla: færslur á borð við exited on signal 11 (SIGSEGV) í PHP-FPM log eða Segmentation fault í villuskrá Apache, sérstaklega í kjölfar POST-beiðna. 
  2. Grunsamlegar fyrirspurnir: hraðar multipart/form-data POST-beiðnir sem innihalda reitinn PHP_SESSION_UPLOAD_PROGRESS, einkum á slóðir sem taka ekki við upphleðslu. 
  3. Undirferli vefþjóns: skeljar og tól (sh, bash, curl, wget, python, perl, nc) ræst af notanda vefþjónustu (www-data, apache, nginx). 
  4. Ummerki eftir innbrot: nýjar eða breyttar .php-skrár í vefrót (vefskeljar), ný cron-verk og óvæntar úttengingar frá vefþjónum. 
Þar sem árásir geta hafist áður en uppfært er, skal fara yfir atburðarskrár aftur í tímann eftir uppfærslu. Tilkynningar og framhald. Vinsamlegast tilkynnið grun um misnotkun eða innbrot til CERT-IS á [email protected].    

Mildunaraðgerðir

Tekið skal fram að eftirfarandi mildunaraðgerðir koma frá netöryggissamfélaginu en ekki frá útgefendum PHP forritunarmálsins. Þeir hafa jafnframt ítrekað að þessar mildunaraðgerðir duga ekki að öllu leiti og er eina örugga í stöðunni að uppfæra um leið og uppfærsla er í boði.

Einnig skal tekið fram að eftirfarandi mildunaraðgerðir hafa neikvæð áhrif því þær geta brotið virkni sem nauðsynleg er fyrir vefsíðuna, þar sem þær koma í veg fyrir að hægt sé að hala upp skrám inn.

Fyrir Apache vefþjóna: hægt að setja bæði í .htaccess skrár eða inn í <VirtualHost> stillingar beint.

RewriteEngine on
RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
RewriteRule ^ - [F,L]

Fyrir nginx vefþjóna:

if ($http_content_type ~* "multipart") { return 403; }

CERT-IS biðlar til rekstraraðila að fara varlega með þessar breytingar.

Tilvísanir

Scroll to Top

Um okkur

Fréttir og útgefið efni

Leiðbeiningar í atvikum