Tokom protekle nedelje, prijavljene su velike bezbednosne ranjivosti u PHP, Node.js i Go okruženjima. Administratori koji održavaju servere koristeći ove tehnologije, uključujući popularne sisteme za upravljanje sadržajem kao što je WordPress, moraju delovati kako bi zaštitili svoje usluge od potencijalne zloupotrebe.
Od 21. oktobra, globalne agencije za sajber bezbednost i zvanični kanali za PHP i Node.js objavili su kritične bezbednosne biltene u vezi sa ranjivostima koje omogućavaju neovlašćenim napadačima da izvrše daljinsko izvršavanje koda (RCE) ili pokrenu napad uskraćivanja usluge (DoS).
Pošto ranjivosti postoje u jezičkom okruženju ili ugrađenim bibliotekama, jednostavno ažuriranje front-end aplikacija kao što su WordPress dodaci ili npm paketi neće zaštititi server; samo jezičko okruženje mora biti nadograđeno.
Ranjivosti u glavnim tehnološkim stekovima
1) PHP („PHP2Shell“ ranjivost)
- Ranjivosti daljinskog izvršavanja koda: CVE-2026-109618, CVE-2026-109619 (CVSS ocena 9.2, kritičan rizik)- Sažetak: Postoje greške u osnovnom upravljanju memorijom i globalnom rukovanju stanjem. Kada se pokrene greška nedostatka memorije (OOM), to može dovesti do oštećenja memorije ili korišćenja zastarelog stanja od strane kasnijeg zahteva koji obrađuje isti radnik. Opseg uticaja: Sve nepatchovane PHP veb stranice i serveri. Napadači mogu pokrenuti napade bez ikakvih akreditiva ili privilegija.
2) Node.js
Brotli dekoder i ranjivosti mrežne bezbednosti uključuju CVE-2026-111497 (Brotli upis memorije izvan granica) i višestruke TLS/DNS ranjivosti autentifikacije.- Sažetak: Ugrađeni Brotli dekoder kompresovanih podataka ima defekt upisa memorije izvan granica; takođe postoji rizik od zaobilaženja provere akreditiva i imena hosta.- Opseg uticaja: Rukovanje nepouzdanim Brotli kompresovanim podacima, spoljnim mrežnim vezama i Node.js uslugama za proksi servere.
3) Go jezik i srodni okviri
- Bezbednosne zakrpe su objavljene za relevantne mrežne protokole, standardne biblioteke i glavne open-source okvire, kao što su HTTP proksiji i interfejsi za upravljanje mrežom.- Opseg uticaja: Cloud-native usluge koje koriste specifične verzije Go modula ili zavise od njih.
Hitne akcije za administratore servera
Tradicionalne provere zavisnosti paketa (kao što su skeniranja package.json ili composer.json) ne mogu otkriti ranjivosti u okruženju. Neophodno je proveriti verziju okruženja koja se pokreće na serveru i/ili kontejnerima.
Starije verzije jezičkih okruženja koje su dostigle kraj životnog veka (kao što je PHP ispod verzije 8.2 ili Node.js ispod verzije 20) neće primati zvanične zakrpe. Aplikacije koje se pokreću na ovim verzijama koje su dostigle kraj životnog veka moraju biti ili nadograđene na podržanu, zakrpljenu verziju ili izolovane od interneta.
Ako su resursi ograničeni, administratori servera mogu pratiti ove korake u nizu:
1) Brza inventura imovine (provera verzije)
Prijavite se na svaki server ili kontejner i potvrdite da li je verzija jezičkog okruženja pogođena.
- Za PHP, proverite da li je pokrenuta verzija starija od zakrpljene verzije (pogledajte listu ispod). Napomena: Neke Linux distribucije prenose zakrpe, tako da verzije starije od 8.2 i dalje mogu primati zakrpe. Proverite zvanične najave ili logove paketa za vašu distribuciju.
- Za Node.js, proverite da li koristite pogođenu verziju 22.x, 24.x ili 26.x.
2) Odmah nadogradite na zakrpljenu verziju
Nadogradite svoje okruženje na odgovarajuću zakrpljenu verziju ispod i ponovo pokrenite proces usluge (kao što je PHP-FPM ili Node aplikacija) da biste očistili preostalu memoriju:
- Zakrpljene PHP verzije:PHP 8.5 serija: nadogradite na 8.5.12 (ili noviju)PHP 8.4 serija: nadogradite na 8.4.27 (ili noviju)PHP 8.3 serija: nadogradite na 8.3.36 (ili noviju)PHP 8.2 serija: nadogradite na 8.2.35 (ili noviju)
Zakrpljene Node.js verzije:Node.js 22.x: nadogradite na 22.23.4 (ili noviju)Node.js 24.x: nadogradite na 24.22.1 (ili noviju)Node.js 26.x: nadogradite na 26.12.1 (ili noviju)
Napomena: Podrška za Node.js 20 i starije verzije je završena. Morate nadograditi na podržano izdanje što je pre moguće.
3) Ponovo izgradite kontejnere i slike
Ako koristite Docker ili druge cloud-native kontejnere, jednostavno menjanje oznake nije dovoljno; slika mora biti ponovo izgrađena kako bi se osiguralo da je osnovno okruženje ažurirano i da je usluga ponovo raspoređena.
Proverite svoj front-end veb aplikativni zaštitni zid (WAF) ili balanser opterećenja kako biste potvrdili da li su omogućena pravila zaštite od abnormalnog POST saobraćaja i zlonamernih kompresovanih paketa.
Gore navedeno je samo pregled. U specifičnim slučajevima, tehničko osoblje mora hitno identifikovati i ukloniti rizike na osnovu svojih okruženja kako bi održalo bezbednost informacija.
