PHP: uppdatera även systemen du inte tänker på

Det här är bekräftat

PHP har rättat två fel som kan möjliggöra kodkörning utan inloggning. CERT-SE uppger att båda finns i CISA:s katalog över kända exploaterade sårbarheter. PHP anger rättningar i 8.5.12, 8.4.27, 8.3.36 och 8.2.35. [1, 2]

Vilka berörs?

PHP-baserade webbtjänster och produkter som innehåller PHP. Distributioner kan ha bakporterat rättningen utan att byta till PHP-projektets versionsnummer. Verifiera därför leverantörens säkerhetsmeddelande för just din produkt. [1]

Vår rekommenderade arbetsordning

Om uppdatering dröjer rekommenderar CERT-SE att isolera berörda internetexponerade PHP-applikationer. [2]

1. Lista publika webbtjänster och fråga drift- eller webbhotellsleverantören vilka som använder PHP.
2. Säkra konfiguration och återställningsväg. Installera via produktens stödda uppdateringsmetod.
3. Ladda om berörda processer enligt leverantörens råd och testa viktiga funktioner.
4. Granska loggar efter misstänkt aktivitet. En patch bevisar inte att ett tidigare intrång saknas.

Kompletterade råd

PHP har kompletterat råden kring session.upload_progress.enabled för en ovanlig kombination av serialiseringsinställningar. Läs den aktuella anvisningen före ändring. För Windows finns även separata -1-paket som uppdaterar Brotli utan att ändra PHP:s runtime-version. [1]

Om du använder webbhotell

Be leverantören bekräfta att både webbplatsens och plattformens PHP-komponenter är rättade. Spara datum och besked. Du behöver normalt inte själv ändra serverinställningar.

Så fixar och kontrollerar du det

Praktisk rekommendation: ändra inte PHP-inställningar på måfå för att kompensera för en saknad patch. Om en färdig produkt innehåller PHP ska dess stödda uppdateringsväg användas.

1. Bekräfta vilken PHP-version webbservern eller applikationen faktiskt kör. Ett versionsbesked från kommandoraden kan avse en annan installation.
2. Installera produktleverantörens rättade paket och genomför den omladdning eller omstart som anvisningen kräver.
3. Kontrollera den körande tjänstens paket- eller versionsuppgift efteråt. Använd leverantörens säkerhetsmeddelande om rättningen är bakporterad.
4. Testa inloggning, uppladdning och andra viktiga funktioner. Spara paketversion, testresultat och datum.

Behöver du en gemensam arbetsgång?

Guiden ”Ett säkerhetshål har upptäckts – så tar du det till en färdig åtgärd” beskriver hur du kontrollerar om du berörs, förbereder återställning och verifierar resultatet.