PHP2Shell: grommunio:lle tarkoitetut korjatut PHP-paketit ovat nyt saatavilla

Päivitetyt PHP-paketit, jotka korjaavat kriittiset PHP2Shell-haavoittuvuudet, ovat nyt saatavilla sekä grommunio-yhteisön että tuettujen pakettivarastojen kautta. Suosittelemme vahvasti, että varmistat järjestelmiesi turvallisuuden välittömästi.

Mikä on PHP2Shell?

PHP2Shell on nimi, joka on annettu kahdelle kriittiselle haavoittuvuudelle itse PHP-ajoympäristössä: CVE-2026-109618(opens in a new tab) ja CVE-2026-109619, joiden CVSS-luokitus on 9,2. Niiden avulla tunnistautumaton hyökkääjä voi suorittaa koodia etäyhteydellä yhdellä pyynnöllä, ennen kuin sovelluskoodi ehtii käynnistyä. Tämä tarkoittaa, että palvelin voi olla alttiina hyökkäyksille, vaikka sen PHP-sovellukset olisivatkin täysin turvallisia.

• CVE-2026-109618: muistin loppumisen vuoksi keskeytynyt muistivaraus voi jättää pyynnön tiedot osittain alustetuiksi, ja pyynnön puhdistus voi tällöin käsitellä kyseisiä virheellisiä tietoja kelvollisina.
• CVE-2026-109619: pyynnön hallinnoima sisäinen tila voi säilyä pidempään kuin muisti, johon se viittaa, joten myöhempi pyyntö samalla työntekijällä voi käyttää sitä ennen kuin se nollataan.

Tämä koskee kaikkia verkkopyyntöjä käsitteleviä PHP-asennuksia, mukaan lukien PHP-FPM:n, jota grommunio käyttää. Tiedot haavoittuvuuksista vuotivat julkisuuteen ennen sovittua julkistamispäivää, ja tietoturvatutkijat ovat jo raportoineet hyökkäysyrityksistä luonnossa. PHP:n kehittäjät ovat julkaisseet korjatut versiot (8.5.12, 8.4.27, 8.3.36 ja 8.2.35) ja toteavat, että päivitys on ainoa turvallinen vaihtoehto, koska käytettävissä olevat kiertotavat sulkevat vain osan hyökkäysreiteistä.

Lisätietoja: Help Net Security, The Hacker News, SecurityWeek ja watchTowr FAQ.

Päivittäminen

Päivittäminen vaatii vain muutaman komennon:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

Komentojen zypper ref ja zypper up sijaan voit käyttää myös grommunio Admin -hallintapaneelin verkkopäivitystoimintoa tai suorittaa grommunio-update-komennon komentoriviltä. Kummassakin tapauksessa käynnistä php-fpm uudelleen päivityksen jälkeen: näin varmistat, että jokainen työntekijä käyttää korjattua PHP-binaaria.

Automatisoidut testimme ja lukuisat manuaaliset tarkistukset eivät ole paljastaneet mitään sivuvaikutuksia. Tästä huolimatta kukaan ei voi tässä varhaisessa vaiheessa taata, ettei sivuvaikutuksia ole lainkaan. Kaikki testimme ovat sujuneet hyvin, ja korjaustoimenpiteet ovat osoittautuneet tehokkaiksi kaikissa laboratorioympäristöissämme.

Lisäetu: nopeampi verkkokäyttöliittymä OPcachen avulla

Jo jonkin aikaa on ollut mahdollista asentaa php8-opcache grommunio:n yhteydessä. OPcache säilyttää esikompiloitua PHP-koodia muistissa, mikä tekee grommunio Web:stä huomattavasti nopeamman. Siksi komento zypper in php8-opcache on sisällytetty yllä olevaan luetteloon. Jos se on jo asennettuna, zypper ohittaa sen.

Virallisia SUSE-päivityksiä edeltävät out-of-band-paketit

Nämä paketit ovat out-of-band-päivityksiä, jotka olemme rakentaneet ja tarjoamme itse, erillään SUSE:n toimittamista virallisista paketeista. Rakennusinfrastruktuurimme ja testausprosessimme ansiosta pystyimme toimittamaan ne ennen kuin viralliset SUSE-ylläpitopäivitykset olivat saatavilla. Olemme ylpeitä tästä ja kiitollisia tiimillemme nopeasta toimitusajasta.

Heti kun SUSE julkaisee omat korjatut PHP-pakettinsa, poistamme väliaikaiset pakettimme grommunio-pakettivarastoista, jotta SUSE:n toimittamat paketit saavat jälleen etusijan. Koska järjestelmänne paketit ovat silloin peräisin eri toimittajalta (ja niissä voi olla alempi versionumero), zypper ei vaihda takaisin automaattisesti. Kun se hetki koittaa, teidän on sallittava toimittajan vaihto nimenomaisesti, esimerkiksi:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Ilmoitamme, kun on aika suorittaa tämä vaihe, sekä annamme tarkat ohjeet.

Etkö käytä grommunio:ää SUSE:ssa?

Debianissa, Ubuntussa ja muissa jakeluissa PHP tulee jakelustasi. Asenna jakelusi tarjoamat PHP:n tietoturvapäivitykset ja käynnistä php-fpm uudelleen sen jälkeen.

Kysymyksiä?

Lisätietoja on tulossa. Keskustelut ja uusimmat päivitykset löytyvät yhteisöstämme. Tilauksen tehneet asiakkaat voivat ottaa suoraan yhteyttä grommunio-tukeen.