PHP2Shell: poprawione pakiety PHP dla grommunio są już dostępne

Zaktualizowane pakiety PHP, które eliminują krytyczne luki PHP2Shell, są już dostępne zarówno w repozytoriach społeczności grommunio, jak i w repozytoriach objętych wsparciem. Zdecydowanie zalecamy natychmiastowe zabezpieczenie systemów.

Czym jest PHP2Shell?

PHP2Shell to nazwa nadana dwóm krytycznym lukom w samym środowisku uruchomieniowym PHP: CVE-2026-109618(opens in a new tab) oraz CVE-2026-109619, z których każda otrzymała ocenę CVSS 9,2. Mogą one umożliwić nieuwierzytelnionemu atakującemu zdalne wykonanie kodu za pomocą pojedynczego żądania, jeszcze przed uruchomieniem jakiegokolwiek kodu aplikacji. Oznacza to, że serwer może być narażony na atak, nawet jeśli działające na nim aplikacje PHP są całkowicie bezpieczne.

• CVE-2026-109618: alokacja przerwana przez brak pamięci może spowodować, że dane żądania zostaną częściowo zainicjowane, a proces czyszczenia żądania może następnie potraktować te nieprawidłowe dane jako prawidłowe.
• CVE-2026-109619: stan wewnętrzny należący do żądania może przetrwać dłużej niż pamięć, na którą wskazuje, więc późniejsze żądanie na tym samym procesie roboczym może z niego skorzystać, zanim zostanie zresetowany.

Problem dotyczy każdej instalacji PHP obsługującej żądania internetowe, w tym PHP-FPM, z którego korzysta grommunio. Szczegóły dotyczące tych luk wyciekły przed wyznaczoną datą skoordynowanego ujawnienia, a badacze bezpieczeństwa zgłaszają już próby wykorzystania tych luk w środowisku produkcyjnym. Twórcy PHP opublikowali poprawione wersje (8.5.12, 8.4.27, 8.3.36 i 8.2.35) i twierdzą, że aktualizacja jest jedyną bezpieczną opcją, ponieważ dostępne rozwiązania tymczasowe eliminują jedynie niektóre ścieżki ataku.

Więcej informacji: Help Net Security, The Hacker News, SecurityWeek oraz FAQ serwisu watchTower.

Jak przeprowadzić aktualizację

Aktualizacja wymaga wykonania zaledwie kilku poleceń:

zypper ref
zypper up
zypper in php8-opcache
systemctl restart php-fpm

Zamiast poleceń zypper ref i zypper up można również skorzystać z narzędzia do aktualizacji przez Internet w panelu administracyjnym grommunio lub uruchomić polecenie grommunio-update w wierszu poleceń. W każdym przypadku należy następnie zrestartować php-fpm: zapewni to, że każdy proces roboczy będzie korzystał z poprawionej wersji binarnej PHP.

Nasze automatyczne testy oraz duża liczba ręcznych kontroli weryfikacyjnych nie wykazały żadnych skutków ubocznych. Niemniej jednak na tym wczesnym etapie nikt nie może zagwarantować, że takie skutki nie wystąpią. Wszystkie nasze testy zakończyły się pomyślnie, a środki zaradcze okazały się skuteczne we wszystkich naszych konfiguracjach laboratoryjnych.

Dodatkowa korzyść: szybszy interfejs internetowy dzięki OPcache

Od pewnego czasu istnieje również możliwość zainstalowania php8-opcache wraz z grommunio. OPcache przechowuje w pamięci wstępnie skompilowany kod PHP, co sprawia, że grommunio Web działa zauważalnie szybciej. Dlatego powyżej zamieszczono polecenie zypper in php8-opcache. Jeśli masz już ten pakiet zainstalowany, zypper po prostu go pominie.

Pakiety pozaprogramowe, wyprzedzające oficjalne aktualizacje SUSE

Pakiety te to aktualizacje pozaprogramowe, które sami skompilowaliśmy i udostępniamy, niezależnie od oficjalnych pakietów dostarczanych przez SUSE. Dzięki naszej infrastrukturze kompilacyjnej i procesowi testowania udało nam się je udostępnić jeszcze przed pojawieniem się oficjalnych aktualizacji serwisowych SUSE. Jesteśmy z tego dumni i wdzięczni naszemu zespołowi za szybką realizację.

Gdy tylko firma SUSE opublikuje własne poprawione pakiety PHP, usuniemy nasze pakiety tymczasowe z repozytoriów grommunio, aby pakiety dostarczane przez SUSE znów miały pierwszeństwo. Ponieważ pakiety w systemie będą wtedy pochodzić od innego dostawcy (i mogą mieć niższy numer wersji), zypper nie przełączy się z powrotem automatycznie. Kiedy nadejdzie ten moment, konieczne będzie wyraźne zezwolenie na zmianę dostawcy, na przykład:

zypper ref
zypper up --allow-vendor-change --allow-downgrade
systemctl restart php-fpm

Poinformujemy, kiedy nadejdzie czas na wykonanie tego kroku, podając jednocześnie dokładne instrukcje.

Nie korzystasz z grommunio w systemie SUSE?

W systemach Debian, Ubuntu i innych dystrybucjach PHP pochodzi z danej dystrybucji. Zainstaluj aktualizacje zabezpieczeń PHP dostarczane przez dystrybucję, a następnie uruchom ponownie php-fpm.

Pytania?

Wkrótce więcej informacji. Dyskusje i najnowsze aktualizacje znajdują się w naszej społeczności. Klienci posiadający subskrypcję mogą skontaktować się bezpośrednio z pomocą techniczną grommunio.