Sources ndị enyochara ka nke October 22, 2026. Ndị na-ege ntị: Ndị na-ahụ maka ngwa PHP, ndị na-aza nchekwa, na ndị injinia na-ejigide omenala PHP na-ewuli.

Edemede a na-achịkọta ihe kpatara ya, oke mmetụta, usoro nrụzi iwu, usoro mbelata nwa oge yana mmejuputa patch gọọmentị nke adịghị ike PHP2Shell. A na-akpọ isi ederede site na iji nọmba dịka S1; Edepụtara njikọ niile isi mmalite na mgbakwunye na njedebe nke ederede. Iberibe nhazi ahụ bụ ndebiri ntinye, nke kwesịrị imezi ya dabere na ụdị nke n’ezie, ikike azụmahịa na mmekọrịta nketa nhazi.

TL;DR: Mmezi nzọụkwụ na aro

  1. Kwalite nke PHP oge ojiri gaa : kwalite alaka dị mkpa ka ọ dịkarịa ala 8.2.35 , 8.3.36 , 8.4.27 ma ọ bụ 8.5.12 . Maka ngwugwu nkesa, jiri ụdị ngwugwu zuru oke nke onye na-ere ahịa kwadoro na-edozi ma CVE. S1 S10
  2. Dochie usoro ochie niile: malitegharịa ma ọ bụ tụgharịa PHP worker ọ bụla, ọrụ nnabata, na akpa mgbe emelitere, wee gosi na ihe ochie apụọla.
  3. Nyochaa site na ụzọ arịrịọ Web n’ezie: lelee Web SAPI, ụdị ngwugwu zuru ezu, yana ọmụmaatụ na-agba ọsọ. Nyochaa php -v naanị egosighi na edobere ọrụ ndụ.
  4. Run nyochaghachi azụmaahịa azụmaahịa wee weghachi mmefu ego akụrụngwa nkịtị: nbanye ule, njikwa nnọkọ, bulite, mbubata, na njikwa njehie. Ọ bụrụ na ewepụrụ oke ebe nchekwa PHP nwa oge, weghachite mmefu ego zuru oke kwesịrị ekwesị ka emechara ya.
  5. Ọ bụrụ na nkwalite ngwa ngwa agaghị ekwe omume: gbochie okporo ụzọ enweghị ntụkwasị obi tupu ya eruo PHP. Nyochaa nkwụsị nkwalite nkwalite na PHP 8.5 azụ azụ azụ dị ka akọwara na ngalaba 5. Mbelata nhazi na iwu WAF nwere oke mkpuchi na enweghị ike dochie nkwalite nkwalite. S1S2S3

1. Nleba anya ihe ọghọm na ikpe ihe egwu

PHP2Shell na isiokwu a na-ezo aka abụọ Critical larịị vulnerabilities eze mara site PHP na October 21, 2026. Ha abụọ metụtara na ebe nchekwa na-arịọ lifecycle management nke PHP engine, na-etinye ihe ize ndụ nke ime code unexe. S1S2S3

Ihe oru ngoCVE-2026-109618CVE-2026-109619
aha gọọmentiRCE via OOM corruptionRCE via stale global state
isi okwuEbe nchekwa ezughi oke na-ebute mwụli elu na-adịghị mma, na-ahapụ ọnọdụ na-emechabeghị mmalite.Steeti zuru ụwa ọnụ nke fọdụrụ na ndị ọrụ na-atụ aka na ebe nchekwa arịrịọ ewepụtara.
Oge ihe omume a na-ahụkarịUsoro mmalite, igbu ma ọ bụ nhichapụ nke arịrịọ dị ugbu aArịrịọ gara aga na-ahapụ ọkwa ahụ, arịrịọ ndị na-esote na-eri ya n’ọdịnihu.
OOM ọ bụ ọnọdụ dị mkpa?Sonyere isi usoro ịkpalite adịghị ikeMba; mmejọ ndị ọzọ na-egbu egbu na nchacha mgbe nyochachara nwekwara ike itinye aka
Ntuziaka nrụzi isiJikwaa ọdịda oke nke ọma yana nkwusị arịrịọDozie ikike steeti, oge mkpocha na mmalite mmalite
Ihe mkpofu chọrọa ghaghị ịrụzi yaa ga-edozirịrị n’otu oge ahụ

Ndabere: Akwụkwọ ozi nchekwa gọọmentị abụọ na idozi ntinye. S2S3S4

1.1 Ịghọta mbugharị emetụtara

PHP eze na-atụle niile PHP deployments njikwa Web arịrịọ n’ihe ize ndụ, gụnyere PHP-FPM , Apache mod_php , php-cgi , FrankenPHP , na LiteSpeed . Ihe ngosi mod_php Mwakpo nwere ike ime tupu koodu ngwa agbaa, yabụ nlele nbanye, framework middleware, na ntinye nkwado ngwa enweghị ike ikpuchi ụzọ ahụ. S1

Ọ dị mkpa ịmata ọdịiche dị n’etiti “nkwanye mkpa ka edozie ya” na “e gosipụtara ụfọdụ agbụ ọgụ kpamkpam”. Nkwupụta nke CVE-2026-109618: FPM ga-apụ apụ usoro nwatakịrị ahụ mgbe mmalite arịrịọ ahụ dara, na-egbochi ụzọ mkpocha kwekọrọ nke mod_php mgbe mmalite mmalite; Otú ọ dị, ụzọ OOM mgbe mmalite nke ọma ka dị n’ihe ize ndụ. Nkwuputa a na-ekwukwa na egosipụtabeghị FPM zuru oke maka CVE a. Enweghị ike iji mmachi a wepụta na FPM adịghị mma, ọkachasị CVE-2026-109619 enweghị ike ileghara ya anya. S2S3

Oke ikike ozugbo maka nrigbu na-aga nke ọma dabere na njirimara nke usoro a na-anabata PHP yana akụrụngwa ọ nwere. N’ozuzu, ekwesịrị itinye nlebara anya na koodu webụsaịtị, ndekọ bulite, nzere nchekwa data, akara ọrụ na ikike ịnweta netwọkụ dị n’ime; “Emepe koodu remote” apụtaghị na ịnweta ikike mgbọrọgwụ. Mkpebi ga-esi na ya pụta ebe a dabere n’ụdị ikike usoro, yana mmetụta ọ dị mkpa ka enyocha ya na njikọ ikike mbugharị.

Ederede CLI nkịtị enweghị otu ntinye HTTP; mana usoro ndị na-arụ ọrụ mpụga ruo ogologo oge na CLI ma ọ bụ ọnọdụ agbakwunyere kwesịrị ka etinyere n’ime oge ojiri gaa na usoro okirikiri ndụ. Naanị ihe ndabere CMS, kpuchie ma ọ bụ Composer ka emelitere yana injin PHP dị n’okpuru anaghị edochi ya ozugbo.

2. Ihe kpatara nyocha

2.1 buru ụzọ ghọta usoro ndụ ndụ abụọ ahụ

PHP worker na-ejikwa ọtụtụ arịrịọ n’usoro. Ebe nchekwa ekenyela n’oge arịrịọ ahụ nwere ike ịhapụ ya n’otu n’otu na njedebe nke arịrịọ ahụ, ebe onye ọrụ n’onwe ya na ụfọdụ mpaghara ụwa ya na-anọgide na-adị.

Ya mere, engine kwesịrị ịnọgide na-enwe ihe mgbochi abụọ:

  • Mmachibido mmalite mmalite: Data a na-ahụ anya na koodu ndị ọzọ ga-adịrịrị na ọnọdụ enwere ike ịgụ, gafere ma bibie ya n’enweghị nsogbu.
  • Lifecycle constraint: ozugbo a na-ahapụ ebe nchekwa arịrịọ, ubi ndị dị ogologo agaghị aga n’ihu na-emeso adreesị n’ime ebe nchekwa ahụ dị ka ọnọdụ ziri ezi.

Ihe mgbochi abụọ a kwekọrọ na isi ụdị ọdịda nke otu abụọ nke adịghị ike. Usoro na-esonụ bụ nkọwapụta usoro na-ejikọta ọkwa na nchịkọta kwachie. Ọ pụtaghị na mbugharị ọ bụla nwere otu ụzọ enwere ike iru. S2S3S5

2.2 CVE-2026-109618: OOM kwụsịrị mmelite ọkwa emechabeghị.

Ihe mmejuputa ochie a na-eji mwụli elu na-abụghị mpaghara nke ụdị longjmp() iji jikwaa OOM, ụzọ jikọtara ya na-apụ na ọnọdụ ogbugbu ugbu a site na zend_bailout(). Ihe egwu dị na ya bụ na mpempe koodu C nwere ike ibipụtala ihe ọhụrụ, nhazi, ma ọ bụ rịọ ọkwa na koodu ọzọ, mana emechabeghị mmalite niile ubi; n’oge a, ọdịda nkesa ọ bụla n’oge kwesịrị ekwesị nwere ike ime ka awụpụ usoro mmechi nkịtị. S2

Enwere ike imebi usoro ọdịda ahụ ụzọ anọ:

  1. Mepụta ma ọ bụ melite nhazi ime arịrịọ wee mee ka ọ nweta ya.
  2. Oke ebe nchekwa na-esote ada ada wee malite OOM.
  3. Ngwunye ogbugbu ahụ na-awụpụ na ọrụ dị ugbu a, na koodu ejirila mechaa mmalite ma ọ bụ weghachi steeti adịghị eme ya.
  4. Arịrịọ ihicha na-aga n’ihu na-ahazi ihe owuwu ndị a ma na-ewere ọdịnaya ezighi ezi dị ka ubi ma ọ bụ adreesị ziri ezi.

Okwu a abụghị na ịgbapụ ebe nchekwa na-ebute RCE mgbe niile. Kama, ike ọgwụgwụ nke na-agbanwe usoro njikwa ma mebie echiche nke injin ahụ gbasara ihe owuwu dị mma. Oke nke dara ada ekwesịghị itinye aka n’usoro a ga-agụ na ezighi ezi. S2

Ihe kpatara arịrịọ nta nwere ike ịpụ na ebe nchekwa

Ọnụọgụ bytes dị n’ime ahụ arịrịọ na ngwungwu ojiji mgbe emechara ya abụghị otu ihe. Ogige A nwere ike ịdekọ ọtụtụ eriri, ihe n’usoro na ihe metadata dị n’ime PHP; mgbagwoju anya nhazi ntinye ga-emetụta ogo nke nkwalite ebe nchekwa.

Okwu nwere multipart depụtara na ọkwa gọọmentị gụnyere: oghere nlele mbido mbụ mgbe ogologo nkwupụta dị adị na-efu, ọnụọgụ nkụnye eji isi mee maka otu akụkụ ejedebeghị nke ọma, yana njikwa faịlụ efu ka na-emepụta metadata, na aha akwụghị ụgwọ na-abawanye ọrụ n’usoro. Mwepu nke ngwa a, ngbanwe ma ọ bụ ngbanwe nke ntinye nwere ike bụrụ isi mmalite nke OOM. S2

Enwere ike nweta nkwubi okwu nchebe abụọ site na nke a:

  • Arịrịọrịrị ka etinyere mmachi ahụ dịka o kwere mee tupu abanye PHP, na a ga-atụle ogologo ọgụgụ ọgụgụ na mgbagwoju anya nhazi.
  • N’otu n’otu ịmachi nha faịlụ, ọnụọgụ faịlụ, ma ọ bụ imechi naanị otu ọnụ ụzọ ebugo enweghị ike ikpuchi isi mmalite OOM niile.

Kedu ihe kpatara njirimara ngwa nwere ike bụrụ oge akaha

Na mod_php, a na-enyocha ahụ arịrịọ na-akpaghị aka n’oge usoro mbido arịrịọ; ọ bụrụgodị na mmalite ahụ ada ada, a ka ga-eme nhicha arịrịọ metụtara ya. Ụzọ ọgụ akwadoro nwere ike ime tupu koodu ngwa. Iji belata mkpughe n’oge a, ọ dị mkpa ka etinye mmachi na reverse proxy, Web server, ma ọ bụ oke ọzọ nke bu ụzọ nhazi arịrịọ PHP. S1S2

2.3 CVE-2026-109619: E wepụtala ebe nchekwa arịrịọ, ntụaka zuru ụwa ọnụ ka dị ndụ

Okwu a gụnyere njehie, nnọkọ, ihe, ma ọ bụ ọkwa ndọtị: a na-echekwa ogige ahụ n’ebe onye ọrụ na-enweta ogologo oge, mana data nke mpaghara ahụ zoro aka na ya bụ nke otu arịrịọ. Ọ bụrụhaala na emezighị ntụaka ahụ nke ọma tupu ewepụta mkpokọta arịrịọ ahụ, arịrịọ ndị na-esote nwere ike izute ọnọdụ na-akụda mmụọ, na-eme ka eji ya emechaa n’efu. S3

Nyocha gọọmentị na-ekewa ọnọdụ nrigbu n’ime “ndị na-emepụta ihe” na “ndị ahịa”:

ọrụ ma ọ bụ ọnọdụpụtaraMmetụta maka nchekwa
onye na-emepụta steetiTinye steeti nke arịrịọ a nwere n’ime ebe a ka nwere ike ịnweta ma emechaaKa ịlele ma emechara nhichapụ kwekọrọ na ọpụpụ na-adịghị mma
Ọkwa ka dịE wepụghị ya, ma ọ bụ kpochapụ ya ma mejupụta ya site na ịwa ahụ n’oge.Naanị ikpochapụ otu ugboro na ọkwa nkwụsị mbụ nwere ike ọ gaghị ezuru
onye ọrụ reuseOtu onye ọrụ ahụ na-aga n’ihu na-ahazi arịrịọ ndị ọzọỌtụtụ ndị ọrụ bụ naanị ọdịiche nhazi oge, ọ bụghị nkwa nchekwa nchekwa
n’ihu n’azụ ahịaGụọ, hapụ ma ọ bụ chọpụta uru fọdụrụ tupu ebido ọnọdụ kwekọrọ na ya.Kwesịrị ịlele INI, nnọkọ na ụzọ ndị ọzọ tupu mmalite

Ọnọdụ ndị a dị mkpa ka ejikọta ọnụ; Ndekọ njehie ọ bụla n’onwe ya anaghị egosi na emebiela adịghị ike ahụ nke ọma. S3

Ọ dịghị achọ OOM dị ka mkpa dị mkpa

Njehie na-egbu egbu nwere ike ịkwụsị mbipụta na mweghachi steeti jikọtara ọnụ. Ịchịkọta ma ọ bụ ntule ọdịda, njehie ejideghị, ọdịda require, na oge igbu oge nwere ike ịhapụ steeti ụfọdụ n’azụ. Nchọpụta nchọpụta na-adịghị egbu egbu n’oge na mkpocha nwekwara ike megharịa ozi njehie nke ehichapụrụla. S3

Ya mere, ịgbanwe memory_limit ka ọ bụrụ nke na-akparaghị ókè anaghị ekpuchi ụdị adịghị ike a.

”Tupu mmalite” kwesịrị ka a gwọọ ya iche

Oge nke ụdị abụọ nke ndị ahịa ekwenyesiri ike dị iche:

  • Early INI diagnostic: Ụfọdụ nhazi etinyere na arịrịọ ịdọ aka ná ntị, ọkwa ma ọ bụ depremision tupu executor nkịtị mmalite, na nchọpụta nchọpụta nwere ike ịnweta ochie njehie steeti.
  • session bulite ọganihu: enwere ike ịhazi oge n’oge usoro nyocha anụ ahụ, mana usoro RINIT emechabeghị; enweghị ike ikwu na ụzọ ahụ adịghị n’ihi na ngwa a akpọghị session_start() hoo haa. S3

Ọ bụghị ihe niile INI nhazi nwere otu ihe ize ndụ oge. Nhazi ọkwa ndekọ nke mod_php na nke PHP_VALUE / PHP_ADMIN_VALUE gafere site na FPM n’ihu-ọgwụgwọ mkpa ka iche na ndị nkịtị php.ini , FPM pool nhazi mmalite na FPM .user.ini . Ndị nke ikpeazụ nwere oge nhazi dị iche iche na enweghị ike ịkpọkọta ọnụ otu ndị ahịa mbụ. S3

Gbanyụọ display_errors, log_errors, ibelata error_reporting, ma ọ bụ iji @ na-emetụta visibiliti nke nchoputa; Enwere ike ịnweta steeti dị n’ime nke dị mkpa tupu ị kpebie ma a ga-ewepụta log. S3

3. Ndozi ụdị na patch nhọrọ

3.1 Ụdị upstream gọọmentị nwere mmezi

Alaka PHP dị ugbu aỤdị nke mbụ gụnyere ndozi gọọmentị aAro
8.28.2.35Kwalite na ụdị a ma ọ bụ ụdị na-esote nwere otu ndozi ahụ
8.38.3.36Otu dị ka n’elu
8.48.4.27Otu dị ka n’elu
8.58.5.12Otu dị ka n’elu
8.1 na nsụgharị mbụNkwado izugbe nke dị n’elu akwụsịlaDodo mbugharị na alaka ndị akwadoro ụzọ; Mwepụta nlele obere oge ma ọ bụ LTS emeputa azụ azụ

Ụdị na ọkwa nkwado dabere na ọkwa gọọmentị nke PHP, na akara oge bụ October 22, 2026. S1

Ndị a bụ ZXZ kpọmkwem nhazi nhazi. Enweghị ike iji nkwupụta dochie ha na ụdị ọ bụla dị n’okpuru 8.5.12 adịghị mfe: ụdị dịka 8.2.35 na 8.4.27 na alaka ndị ọzọ enweelarị ndozi.

3.2 Lelee ụdị ngwungwu nkesa zuru oke

Distros na-agbakwunyekarị ndozi nchekwa dabere na ụdị elu nke ochie. Nnabata kwesịkwara ịlele ụdị ntọhapụ, ebe nchekwa, ụdị ngwugwu na akwụkwọ akụkọ nchekwa.

Dịka ọmụmaatụ, ụdị ngwungwu Ubuntu 24.04 LTS depụtara maka Ubuntu USN-8948-1 bụ:

8.3.6-0ubuntu0.24.04.13

Akụkụ ya dị elu ka bụ 8.3.6, mana ụdị ngwungwu zuru oke nke nkesa ahụ gụnyere na ọkwa ndozi a. Nkwubi okwu a na-emetụta naanị nkesa na ngwungwu kwekọrọ, na enweghị ike ịkọwapụta ya na ụlọ ọ bụla gosipụtara 8.3.6. S10

3.3 Ịhọrọ patch ziri ezi

ọnọdụAtụmatụ ibu ụzọIsi ihe maka nnabata
Iji ngwungwu PHP nkesaWụnye mmelite nchekwa nke onye nrụpụta wepụtaraNkwupụta ahụ na-ekpuchi ma CVE; ụdị ngwugwu zuru ezu bụ eziokwu
Jiri akpa PHP gọọmentị ma ọ bụ onyonyo arụrụ onwe yaMelite oge ịgba ọsọ ntọala, wughachi ma bugharịaIhe atụ na-agba ọsọ na-eji ihe oyiyi ọhụrụ; ewepụrụ akwụkwọ ochie niile
Alaka akwadoro chịkọtara onwe yaJiri ụdị nchekwa nke alaka ụlọ ọrụ a ma ọ bụ ihe njiri mara ọkwa zuru okeDakọtara alaka, mmecha ndabere, ndakọrịta ndọtị na ngafe nlọghachi
Isiokwu maka 7.4, 8.0, 8.1Nye ụzọ azụ azụ ndị na-ere ahịa ụzọ; nyochaa ngalaba koodu isi mmalite mberede ma ọ bụrụ na ọ dị mkpaChọpụta mgbanwe omume na hazie ịkwaga na ụdị akwadoro

A tọhapụrụ patches ndị gọọmentị, na mmezi n’ezie kwesịrị ịmalite site na patches ndị a. Mpempe akwụkwọ koodu ahụ dị na Nkebi 6 bụ iji gosipụta imewe na nleba anya ihe dị elu na emeghịkwa patch zuru oke nke enwere ike itinye n’onwe ya. S1S4S6

4. Usoro mmezi nke ọma

4.1 Ndepụta nke oge ojiri gaa na-edozi arịrịọ

A na-atụ aro ka ịmepụta akwụkwọ akụkọ dị nkenke ka ịdekọ opekata mpe:

  • Aha ngalaba ma ọ bụ ọrụ ntinye, ntụgharị proxy backend, PHP SAPI.
  • PHP ngalaba, ụdị ngwugwu zuru ezu ma ọ bụ mgbari onyonyo, wuo isi iyi.
  • FPM pool, ngalaba ọrụ n’ezie, akpa ma ọ bụ Pod, ọnụọgụ nke oyiri.
  • Ebuola ihe ndọtị, nhazi isi na faịlụ nhazi ndị ọzọ.
  • Enwere ụdị PHP ndị ọzọ, mbipụta mbugharị ochie, ma ọ bụ ọnụ ụzọ mmalite nke enwere ike ịnweta ozugbo?

Ndị a bụ ntụnye mmejuputa iwu ka “ebuli elu” wee kwekọọ na ntinye okporo ụzọ ọ bụla. Karịsịa lelee ma ọ bụrụ na ahịrị iwu PHP na Web PHP na-eji ụdị dị iche iche, a na-ewu ihe onyonyo a mana akpa ochie ka na-agba ọsọ, akụkụ ọdọ mmiri ma ọ bụ nnomi adịghị edochi ya, wdg.

4.2 Họrọ ma wepụta mmelite ziri ezi

Kwado ụdị ndozi ahụ dịka akụkụ nke 3 si dị, ọkachamma iji isi iyi ngwugwu ntụkwasị obi dị adị ma ọ bụ yinye ihe eji arụ ọrụ a na-achịkwa. Ogo mmelite kwesịrị ịgụnye akụrụngwa na-anabata arịrịọ a, dị ka ngwugwu FPM, modul Apache PHP, ọnụọgụ abụọ CGI, ma ọ bụ ihe arụrụ ọrụ nke etinyere PHP.

Tupu ịkwalite, debe nhazi na ndepụta ngwugwu, wee nyochaa mmalite na ọrụ isi na gburugburu ebe dị ka mmepụta. Maka ndọtị jikwaa onwe ya, lelee nrụpụta ma mee ndakọrịta dabara na ụdị PHP. Ịhọrọ nkwekọrịta nke yiri ka ọ dị mkpa site na alaka ụlọ ọrụ ọzọ anaghị ekwe nkwa na edozila nhazi niile.

4.3 Malitegharịa ekwentị ma ọ bụ tụgharịa na-agba ọsọ

Ịwụnye faịlụ na itinye koodu ọhụrụ n’ime usoro bụ ihe abụọ dị iche iche. Ekwesịrị ịmalitegharị ọrụ kwekọrọ, ma ọ bụ mechaa ngbanwe nke mpịakọta, ma kwenye na onye ọrụ ochie na akpa ochie ahụ esila.

Maka mod_php, malitegharịa usoro Apache na-anabata modul ahụ. Ọrụ ndị tinyere PHP chọrọ ka edochie usoro nnabata ha. Maka FPM, ikpochapụ OPcache anaghị edochi imelite oge ojiri gaa na ndị ọrụ ochie ezumike nka.

Mgbe ị na-eji ngbanwe mara mma, ịkwesịrị ịlele ma usoro ọgbọ ochie ka na-ejikwa njikọ ogologo ma ọ bụ arịrịọ pụtara ìhè. Ndekọ nnabata kwesịrị ịgụnye ezigbo ọrụ, ụdị mbugharị, mgbanwe oge mmecha, yana nsonaazụ ọpụpụ ochie.

Nyochaa 4.4 site na arịrịọ Web n’ezie

A na-atụ aro ka ikpokọta iberibe ihe akaebe ndị a kama ịdabere naanị na otu ụdị iwu:

ihe akaebeGịnị nwere ike gosiEnweghị ike igosi ihe ọ bụla naanị ya
Njikwa ngwugwu ma ọ bụ metadata onyonyoIsi mmalite nwụnye yana wuo ya zuru okeAgbanwela okporo ụzọ gaa na nke a
Usoro na ntinye ọkwaonye ọrụ ma ọ bụ akpa zuru ezu nnọchiA ghaghị ibufe ọnụ ụzọ mpụta na ya
Nweta nsonaazụ nchọpụta amachibidoro site na ezigbo ọnụ ụzọEzigbo Web SAPI na nhazi nhaziMa ntọhapụ azụ azụ kpuchiri CVE abụọ
Ọkwa onye na-ere ahịa ma ọ bụ ndekọ patch zuru okeAgụnyere ndozi ahụhụ a n’ime ụlọ aA na-ebugharị ihe nṅomi niile

PHP_VERSION, PHP_SAPI, faịlụ nhazi eburula ibu, yana nhazi ihe mberede nwere ike ịlele site na ike nchọpụta dị n’ime, ma ọ bụ ọnụ ụzọ nyocha nke nwa oge na ịnweta. Gbaa mbọ hụ na anabataghị arịrịọ a ozugbo site na CDN ma ọ bụ cache ibe; wepu ntinye nyocha nwa oge mgbe emechara.

php -v na-egosipụta naanị ọnụọgụ abụọ CLI nke shei ahọrọ ugbu a; Iwu ndị dị ka php-fpm -i abụghị otu iji nyochaa onye ọrụ dị ugbu a na-anata okporo ụzọ. Ewepụla ibe phpinfo() zuru ezu na netwọk ọha ruo ogologo oge.

4.5 nlele nlọghachi azụ azụmazụ yana iwepụ ntọala mberede

Nyochaa nbanye nkịtị, ịgụ na ide oge, ụdị na bulite, mbubata, njikwa njehie na nkwụsi ike nke onye ọrụ gburugburu ọrụ mgbanwe a metụtara. Lelee ma ọnụego mperi, igbu oge nzaghachi, ọnụ ọgụgụ ebe nchekwa, ọpụpụ usoro na ugboro ugboro ọ bụ ihe na-adịghị mma.

Ọ bụrụ na edobere memory_limit=-1 nwa oge, a ga-eweghachite obere mmefu ego dabara na ikike azụmaahịa ka patch gọọmentị malitechara; ọ bụrụ na edobere pm.max_requests=1, a ga-eweghachi nhazi usoro ndụ nke a na-enyocha ike mgbe emechara nrụzi ahụ. Enwere ike idowe oke nha ntinye yana njikwa nnweta isi mmalite dịka mkpa azụmahịa siri kwuo.

Ọ bụrụ na nsogbu ndakọrịta bilitere n’oge nkwalite ahụ, ekwesịrị ka ebute ụzọ n’ịkwụsị Portal emetụtara, machibido ohere mpụga ya, ma ọ bụ imezi ngwa tupu ịtụgharị azụ. Ikwe ka oge ojiri gaa na-emezigharịghị ozugbo ka ọ rụọ ọrụ netwọk ọha ọzọ ga-emepekwa ihe egwu mbụ ahụ.

5. Mbelata usoro mgbe nkwalite ngwa ngwa agaghị ekwe omume

Ezubere ngalaba a maka mbelata mkpughe ma ọ bụ melite nnweta obere oge. Ntụle ọ bụla na-ekpuchi naanị otu ụzọ, na nchikota nke ọtụtụ usoro adịghị adaba na nrụzi zuru oke. S1S2S3

5.1 butere njikwa okporo ụzọ ụzọ tupu PHP

Ọ bụrụ na ọrụ ahụ nyere ya ohere, machibido ebe njedebe nwere mmetụta nwa oge na isi mmalite ntụkwasị obi ma ọ bụ manye njikwa ohere tupu PHP. Maka ibugo ibu ọrụ, kpachie nha nke anụ ahụ, ọnụọgụ mpaghara, ọnụ ọgụgụ akụkụ, nkụnye eji isi mee otu akụkụ, yana omimi akwu. Ọrụ ndị na-adịghị mkpa multipart nwere ike ịjụ ya na frontend. S2

Mgbochi ndị a bụ ikpuchi ụzọ niile na PHP. Naanị nkwụsịtụ URL aha ya bụ “bulite” ga-atụfu ndenye ndị ọzọ nke PHP na-atụgharị na-akpaghị aka na ahụ arịrịọ. Maka ikpe ndị dị ka nnyefe chunked, enweghị ogologo ekwuputara dị, wdg, oke kwesịrị ịdabere na nha ọgụgụ n’ezie; ngwa ahụ kwesịkwara inwe oke mmefu ego mmepụta nke ya mgbe ọ na-ebelata ma ọ bụ gbasaa ọdịnaya ọzọ.

5.2 FPM pool template nhazi

Debe ntọala ndị a na ngalaba nhazi FPM pool nke na-ejere arịrịọ, ọ bụghị okwu ọnụ na php.ini. Ụkpụrụ 8M na 4M bụ ihe atụ iji dozie maka ibu ọrụ. Hapụ ohere maka ubi ụdị na oke akụkụ ọtụtụ mgbe ị na-amachi arịrịọ POST dum. S11S12

; Temporary mitigation: evaluate capacity before applying.
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M
php_admin_value[upload_max_filesize] = 4M
php_admin_flag[session.upload_progress.enabled] = off

PHP 8.5 naanị, gbakwunyere:

php_admin_flag[fatal_error_backtraces] = off

Ọrụ na oke nke ọ bụla bụ ndị a:

Nhazimmetụta tụrụ anyaNkọwa nke mmachi ga-edobe
memory_limit=-1Wepu arịrịọ PHP nke enwere ike ibu amụma na ọnọdụ mkpalite oke oke ebe nchekwaỌ naghị egbochi ọdịda nkenye n’okpuru; ịkagbu mmefu ego mbụ nwere ike ịbawanye ohere nke ike ọgwụgwụ ebe nchekwa yana nkwụsị ọrụ.
Obere post_max_sizeBelata nha data na-abanye na usoro nyochaParser na-edochaghị anya amawo oghere; Enweghị ike igbochi nkwalite ebe nchekwa n’onwe ya
upload_max_filesize < post_max_sizeMachie nha otu faịlụ ma debe arịrịọ n’elu oghereAnaghị amachibido mpaghara niile, metadata, ma ọ bụ oke nke in-ngwa
Mechie ọganihu mbuliteGbochie ụzọ metụtara nnọkọ ahụ enwetaraỌ naghị ekpuchi ụdị steeti ụwa ndị ọzọ
PHP 8.5 azụ azụ na-egbu egbuMgbochi kwadoro ndị nrụpụta ọkwa metụtaraAnaghị ekpuchi ụzọ ndị ọzọ dị ka nnọkọ

Oke nha sitere na ọkwa ọkwa gọọmentị; maka ngụkọ ọdọ mmiri na nhazi ọkwa nhazi ọkwa njikwa, lee akwụkwọ ntuziaka PHP. S1S2S3S11

Ngwa enweghị ike ikpuchi ntọala php_admin_* ọkwa njikwa site na ini_set(). A ka ga-enyocha ọdọ mmiri niile, ọkwa ndekọ na n’ihu-ọgwụgwụ nhazi mbata iji gosi na ụkpụrụ dị na arịrịọ n’ezie ka a tụrụ anya ya. Mgbe emezigharịrị, wughachi onye ọrụ niile iji gbochie usoro ndị dị adị ka ọ nọgide na-ejide steeti ochie.

Ọ bụrụ na ị họrọ ịgbanwe php.ini ozugbo, a ga-agbanwe syntax ka ọ bụrụ:

memory_limit = -1
post_max_size = 8M
upload_max_filesize = 4M
session.upload_progress.enabled = Off

N’adịghị ka php_admin_value na ọdọ mmiri, naanị ịtọ memory_limit=-1 na php.ini anaghị egbochi ngwa ịmegharị ya ọzọ. Ekwesịrị ịlele usoro, koodu ngwa, na nhazi ndị ọzọ iji hụ ma ha tọgharịala oke uru; mgbe achọrọ mmanye, jiri ntọala ọkwa njikwa dabara adaba maka SAPI dị ugbu a wee lelee uru bara uru. S11S12

Tinye fatal_error_backtraces = Off naanị maka PHP 8.5. Ejila ngwa-ọkwa ini_set() dị ka ihe mgbakwasị maka gbanyụọ ọganihu nbulite, na adaberekwala na FPM .user.ini iji mee ka ọ dị irè tupu ịrịọ nyocha. S1S3

5.3 Jikwaa ọnụ ahịa iwepu oke ebe nchekwa PHP

memory_limit=-1 bụ mbelata ụzọ nwa oge maka gburugburu anaghị edozi ya na e kwesịghị iṅomi ya dị ka nhazi ndabara ogologo oge. Mgbe ngwa ma ọ bụ arịrịọ kwụsịrị njikwa, ọ nwere ike iji ọtụtụ ebe nchekwa onye ọbịa. Ya mere, tupu iji, ị kwesịrị ị na-enyocha ọnụ ọgụgụ nke concurrencies, ọnụ ọgụgụ kasị elu nke otu onye ọrụ, na mkpokọta ikike ọrụ, na ibuga n’ihu ntinye ókè. S2

Oke ebe nchekwa akpa ma ọ bụ mkpokọta nwere ike inye oke nnweta mana anaghị ekwe nkwa na oke agaghị ada; Enwere ike ịkwụsị akpa ahụ dum, nna ukwu na onye ọrụ niile mgbe agbanyere oke. Ọ dị mkpa ka enyocha granularity nkewa na atumatu nkwụsị ya na ntinye ya na enweghị ike ịkpọ ya nchekwa zuru oke maka CVE abụọ a. S2

Ejikwala RLIMIT_AS, RLIMIT_DATA dochie atụmatụ ndị a dị n’elu, ma ọ bụ mmachi oghere adreesị usoro kwekọrọ; ha nwere ike ime ka oke n’okpuru daa n’ụzọ OOM nwere nsogbu. S2

Ọmụmaatụ nhazi 5.4 Nginx

Ọdabara maka ibuga ebe Nginx na-ebuga arịrịọ na PHP-FPM. Enwere ike ịtọ ya na ọkwa nhazi nke ezigbo ọrụ nnabata:

client_max_body_size 8m;
fastcgi_request_buffering on;

client_max_body_size na-amachi oke ahụ arịrịọ; fastcgi_request_buffering on na-ahapụ Nginx buru ụzọ gụọ ahụ arịrịọ zuru oke wee ziga ya na azụ azụ FastCGI. Ma ọ na-arụ ọrụ na ụfọdụ server ma ọ bụ location kwesịrị ka enyocha ya na njikọ nketa na mkpuchi dị adị. S13S14

Naanị mgbe azụmahịa ahụ achọghị multipart, ị nwere ike itinye iwu ịjụ na ọnụ ụzọ ọrụ kwekọrọ:

if ($http_content_type ~* "multipart/form-data") {
    return 403;
}

Nke a bụ ndebiri mmachi ntinye dị mfe site na iji if na return, ọ bụghị iwu nzacha izugbe maka adịghị ike nzacha. Nyochaa nhazi syntax na arịrịọ nkịtị tupu ebunye ya, wee lelee ma omenala error_page redirect arịrịọ 403 gaa na PHP. Njikọ eriri anaghị enye nkwa zuru oke na ọdịiche ntule niile. S15

Tụkwasị na nke a, nhazi ndị a anaghị egbochi data data, ọnụ ọgụgụ nke ubi, ma ọ bụ ihe PHP nke nwere ike ịda mbà site na ngwa ahụ; ụlọ ọrụ ndị kwesịrị ibugo kwesịrị iji mmachi ndị ọzọ ghọtara usoro arịrịọ ha.

5.5 Mbelata nhọrọ: otu arịrịọ maka onye ọrụ FPM

Maka mbugharị FPM nke nwere ike inyefe ego, enwere ike ịtụle nhazi oge dị mkpirikpi:

pm.max_requests = 1

Ma wughachi onye ọrụ dị ugbu a. Ọ na-egbochi yinye arịrịọ obe a kọwara n’ogo nke onye ọrụ, mana ọ ga-abawanye mmepụta usoro na mbido n’elu; N’otu oge ahụ, ọ nweghị ike ịrụkwa otu arịrịọ OOM na mkpochapụ nke CVE-2026-109618. Mgbe uru ahụ pere mpe mana kariri 1, a ka nwere mpio arịrịọ ka ejigharị ya. S3S11

5.6 WAF yana oke mkpuchi Cloudflare

Cloudflare ekwuputala nhazi ntinye maka nchekwa megide PHP2Shell, gụnyere atụmatụ Free. Mgbe ị na-eji ọrụ ya, ị kwesịrị ịlele ma okporo ụzọ n’ezie na-agafe na proxy, ma iwu nchekwa ọ dị, yana ma enwere ike ịfefe ebe mmalite ahụ ozugbo; maka atụmatụ a na-akwụ ụgwọ, ị ga-achọkwa ịlele nhazi na ewepu nke Iwu Ejikwa kwekọrọ. S16

Ụfọdụ n’ime nchọpụta ndị onye na-ere ahịa kọwara na-eji akara nzaghachi, yabụ enweghị ike ịkọwa nchedo niile dịka “a na-egbochi mwakpo ọ bụla tupu erute PHP”. WAF nwere ike inye aka belata mkpughe na ịnye ozi nlele, mana nkwalite nkwalite na PHP ka dị mkpa. S16

5.7 Gịnị kpatara usoro a na-ahụkarị na-ezughị oke

jikoro ma ọ bụ ikpeadịghị ike
Naanị mechie file_uploadsEnweghị ike ikpuchi nhazi multipart niile ma tinye ụzọ OOM nke ya
Ịtọ ntọala enable_post_data_reading=OffGbanwee omume nke na-ejuputa POST/FILES na-akpaghị aka; Ngwa ahụ ka nwere ike ịgụpụta ahụ arịrịọ ma nwee ike imebi azụmahịa nkịtị
Gbanyụọ ngosipụta njehie, banye ma ọ bụ jiri @Nhazi nyocha nke ime ka nwere ike nweta steeti ahụ na-akụda mmụọ
Mee ka ọnụ ọgụgụ ndị ọrụ dịkwuo eluEmebela usoro mkpocha steeti dị mma, ma ọ bụ kpochapụ iji onye ọrụ na-alụbeghị di
Hazie naanị disable_functions ma ọ bụ open_basedirMgbochi ndị a anaghị edozi nrụrụ ebe nchekwa oyi akwa C
Lelee naanị otu ụdị ma ọ bụ otu otu otu ugboroEnweghị ike igosi na edochila ụzọ mbata na agba ọsọ niile
A naghị ahụ akwụkwọ ndekọ dị iche icheỌ nweghị ike igosi na adịghị ike ahụ adịghị ma ọ bụ na e jiri ya mee ihe na mbụ.

N’ime ha, enwere ike ịchọta nhazi na usoro adịghị ike nke PHP na S2S3S12; ikpe gbasara mkpuchi, nnabata na oke ikike dabere na aro mmejuputa iwu nke usoro ndị a tụpụtara.

6. Mmejuputa echiche na ntụle ihe nke ukara patch

6.1 Jiri ndozi zuru oke maka ngalaba ziri ezi

Nrubeisi onye ọrụ maka PHP 8.5 bụ:

31c0ea7d7ff1d1fccb6492e52dab544011628065
Avoid state corruption via bailout

Nkwekọrịta ahụ na-ejikọta CVE abụọ n’ụzọ doro anya, ha abụọ iji dozie usoro ụzọ ọpụpụ OOM na iji dozie ọnọdụ zuru ụwa ọnụ nke enwere ike ịnweta n’oge mmalite mmalite. Nyefee ibe nwere ọdịiche zuru oke hụ S4S5. Alaka ndị ọzọ kwesịrị iji ntọhapụ nchekwa nke ha ma ọ bụ patches dakọtara, na enweghị ike iche na enwere ike itinye mgbanwe na 8.5 na ụdị ochie ọ bụla.

6.2 OOM Mmezi: bu ụzọ weghachi steeti nwere ike ịhazi ya, wee kwụsị arịrịọ ahụ.

Usoro mmejuputa iwu na-ewebata ọkwa abụọ dị nro na nke siri ike OOM nhazi: mgbe njedebe dị nro ruru, a na-edekọ ọnọdụ echere, a na-eme ka ọpụpụ na-achịkwa na ebe nchekwa dị ka VM; interface nke na-agaghị emeli na-enye ohere ka onye na-akpọ oku nwee ike ijikwa ọdịda ahụ n’ụzọ doro anya. Maka oke nke na-enweghị ike iweghachi ọdịda ozugbo, ọ bụrụ na a na-atụ anya na a ga-agafe ebe siri ike dị elu, usoro a ga-akwụsị ozugbo iji zere ịga n’ihu na-edozi arịrịọ na steeti etiti adịghị mma. S2S5

Nke a bụ akụkụ nke koodu igodo dị na 8.5 diff ejiri mee akara na-echere OOM:

EG(delayed_oom).state = ZEND_OOM_STATE_PENDING;
zend_atomic_bool_store_ex(&EG(vm_interrupt), true);

VM nkwụsị njikwa na ebe ndị ọzọ dị mma wee kpọọ zend_handle_delayed_oom(). Ọnọdụ mkpochapụ koodu njirimara ya na-eji ụzọ unwind na-achịkwa; ụzọ OOM siri ike na-akpọ _exit(137). S5

Site n’echiche imewe, mgbanwe ndị dị mkpa bụ: avoids na-agabiga n’ụzọ aka ike na-agafe nchịkọta oku C mgbe nhazi ahụ dị na steeti etiti, ma tinye ụzọ ọpụpụ na ebe nke nwere ike ịnọgide na-enwe mmachi steeti. Mgbe njedebe dị nro kpalitere, enwere ike ịchọrọ ebe nchekwa ọzọ iji mezue usoro ahụ, yabụ enweghị ike ịghọta ọnụ ụzọ dị nro dị ka oke oke zuru oke maka mkpokọta ebe nchekwa nke usoro a.

Enweghị ike ịchịkọta ya dịka “PHP ehichapụla zend_bailout() niile”. Ihe nkedo ahụ ka na-eji usoro ndị dị mkpa na ọnọdụ dị iche iche; ihe edoziri bụ oge ọpụpụ dị ize ndụ na njikwa steeti na-esote. S5

6.3 Nwelite ndị na-akpọ oke oke na ịkọkọ ọtụtụ akụkụ

Ọ bụrụ naanị na ị gbanwee ọrụ oke ka ọ “laghachite NULL na ọdịda” ma onye ọkpụkpọ mbụ ka na-eche na a na-eweghachite pointer ziri ezi mgbe niile, ị ga-ewebata ohere ọhụụ efu ma ọ bụ nhicha ezughị ezu. Ọ dị mkpa ka enyocha ihe nhụta oke nke enweghị ike ime n’ime patch yana ịlele onye na-akpọ oku yana ịgbasa mgbasa. S5

Ndozi ndị metụtara multipart gụnyekwara ịme nyocha nchikota dabere na olu ọgụgụ n’ezie, na-ebelata nhazi nke nkụnye eji isi mee ma ọ bụ nke oyiri, na ịnakwere mgbagha ọpụpụ na mkpocha na-agbanwe agbanwe mgbe OOM na-echere. Mgbanwe ndị a na-ebelata mmụba akụrụngwa ma mee ka parser na-agbaso usoro OOM ọhụrụ. S5

Maka otu ndị na-edobe alaka nke ha, a na-atụ aro ka okwu ndị na-esonụ bụrụ ihe nyocha koodu:

  • A na-ahụ steeti ahụ n’èzí tupu ebido ya nke ọma?
  • Mgbe ọdịda nke oke ma ọ bụ wepụrụ azụghachi azụ, nwe ka ọ dị iche na enweghị mgbagha?
  • Ị nwere ike iru ụzọ ọpụpụ mkpocha ọnụ ma ọ bụrụ na ị daa n’etiti ụzọ?
  • Ọrụ nchacha ahụ ọ nwere ike ịmata mpaghara ebidobeghị ma ọ bụ tọhapụrụ?
  • Ntụle mmefu ego ọ dabere na oke nhazi n’ezie, ọ bụghị naanị ntụkwasị obi nkwuputa arịrịọ?
  • Ndị niile na-akpọ oku ejirila uru nloghachi ọdịda ọdịda ọhụrụ ahụ?

Ndị a bụ ajụjụ nyocha nke achịkọtara dabere na usoro ndozi, ọ bụghịkwa nkwubi okwu nyocha nke emechara maka ntọala koodu anaghị enye.

6.4 Ndozi arịrịọ obe: mbido mbụ, nhicha ikpeazụ ma emechaa

N’ikwekọ na CVE-2026-109619, patch ahụ na-edozi ọtụtụ oke okirikiri ndụ n’otu oge. Faịlụ na arụ ọrụ ndị edepụtara n’okpuru na-ewere ọdịiche gọọmentị PHP 8.5 dị ka ọmụmaatụ. S5

ebegbanwee uzoA doziri nsogbu
Zend/zend_execute_API.c wdg.Tọgharịa ọkwa mmezu dị ka njehie, ewepu, njikwa, ihe, wdg.Mgbe arịrịọ ahụ kwụsịrị, a ka nwere ntụaka ochie nke enwere ike ịnweta site na arịrịọ ọzọ.
Ụzọ mmalite nke main/main.cKpọọ php_basic_early_rinit() tupu arụ ọrụ SAPIMgbe onye na-azụ ahịa n’oge na-eme, ebidobeghị ọnọdụ dị mkpa dị mkpa.
Ụzọ nso nke main/main.cWetuo HTTP globals wee kaa ya ka akọwapụtaghị yaA ka na-ewere uru a tọhapụrụ dị ka ihe bara uru
tupu emechaa tọhapụ ikpo okwu arịrịọHichapụ ozi njehie ikpeazụ ọzọNchọpụta nchacha emecha megharịa ọkwa njehie
ext/session/session.cbulite agamnihu A na-ebido ụzọ izizi nzụkọ ụwa niileModul oge niile RINIT enwetaburu steeti ochie
Koodu metụtara serializationMachie ntule klaasị na ịkpọghachi onye ọrụ na nhazi mbụMezue koodu njirimara agbakwunyere mgbe mmalite emezughị

Dịka ọmụmaatụ, usoro mmalite ahụ gụnyere:

zend_activate();
php_basic_early_rinit();
sapi_activate();

Mgbe emechara HTTP globals, tinye akara ọdịda ọkwa:

zval_ptr_dtor(&PG(http_globals)[i]);
ZVAL_UNDEF(&PG(http_globals)[i]);

Ihe odide ndị a na-egosi ụkpụrụ abụọ: bido tupu onye ahịa mbụ enwere ike, wee mee nhicha ikpeazụ ka arụchara ọrụ ikpeazụ nke nwere ike megharịa steeti ahụ. Ịtọgharịa pointer naanị n’oge nkịtị RINIT ma ọ bụ ọkwa nkwụsị mbụ nwere ike ịgbaghara ohere mbụ ma ọ bụ emechaa. S5

6.5 Gịnị kpatara na anaghị atụ aro ka ịmezi “otu ahịrị” nke gị?

Dochie zend_bailout() niile na _exit(), ma ọ bụ tinye naanị nlele efu na ntinye ụfọdụ, ga-agbatị ọnụ ọgụgụ dị ukwuu nke ọnọdụ ogbugbu dị iche iche. Ha nwere ike ịhapụ ọkwa ọkwa ndị ọzọ, ma ọ bụ ha nwere ike gbanwee mbibi, ogologo oku azụ, nhazi nhazi, ma rịọ maka nkọwa njedebe.

Maka ụdị akwadoro, ndozi zuru oke ewepụtarala na-ebute ụzọ. Mbugharị nke alaka nke ya kwesịrị ịdekọ isi iyi nke patches, ntọala dị mkpa, njikwa esemokwu na mgbanwe omume, ma jiri ikpe nkwụghachi azụ nke elu kwekọrọ na nkwenye nke usoro azụmahịa a. Aro ndị a na-abịa site na nyocha nke oke patch n’ofe ihe nkesa, VM, nnọkọ na ịrịọ mgbanwe okirikiri ndụ. S4S5

7. Mkpesa mberede nke PHP 7.4, 8.0, 8.1

PHP na-enye opekempe koodu isi mmalite nke alaka ochie atọ dabere na ịdị arọ ya. Aha alaka ndị ahụ bụ:

PHP-7.4-CVE-2026-109618-109619
PHP-8.0-CVE-2026-109618-109619
PHP-8.1-CVE-2026-109618-109619

Maka njikọ alaka, hụ S7S8S9. Ndị a bụ nnyefe mberede maka adịghị ike a na anaghị anọchi anya nlọghachi na nkwado elu oge niile maka alaka ochie, ma ọ bụ dochie mmelite nchekwa ndị ọzọ. S1

7.1 Were azụ azụ azụ PHP 8.1 dịka ọmụmaatụ.

Ihe ntinye dabara adaba maka PHP 8.1 bụ:

1d7dec178a094e6e75b229ce22754045f8c6070a

Usoro ya na-akwado ọdịda ngwa ngwa: ịkpọ _exit(1) mgbe ọ rụpụtachara nchọpụta nchọpụta na ụzọ OOM kwekọrọ, yana gụnyere ọnọdụ ụwa na mmezi ndị ọzọ dị mkpa; ka n’ime ime na-emebi nhazi nke nbulite nnọkọ kwekọrọ. Maka ntinye koodu isi mmalite dị mkpa, hụ S6.

Nke a bụ ihe dị iche n’omume site na imewe OOM na-egbu oge zuru oke na ngalaba akwadoro. Naanị n’ihi na nhazi ahụ ka na-egosi na ọganihu bulite dị, ọ pụtaghị na omume nhazi nke ime mgbe azụ azụ a ga-anọgide na-agbanweghị.

7.2 Ọnụahịa ị kwesịrị ịnara mgbe ị na-ebuga ya

Ịwepụ usoro ahụ ozugbo nwere ike ime ka arịrịọ dị ugbu a daa, na-amapụ azụghachi azụ azụ PHP nkịtị na akụkụ nke mmechi ngwa; ọ bụrụ na onye ọbịa ahụ nakweere ihe nlereanya eri, ọ dịkwa mkpa iji nyochaa mmetụta nke usoro ọpụpụ niile nke onye ọbịa na ọrụ ndị ọzọ na-arụkọ ọrụ ọnụ. Ma onye njikwa usoro nwere ike iwelite usoro nnọchi n’oge kwesịrị ịgụnye na nkwenye ahụ.

Ya mere, ndị na-eji ụdị ochie kwesịrị ịtụle n’usoro:

  1. Gaa na ngalaba PHP na-akwado yana ụdị edoziri ya.
  2. Jiri ntọhapụ na-ekpuchi nke ọma ma CVE ma ọ bụ mmelite nrụpụta LTS.
  3. Ọ bụrụ n’ezie na ọ dabere na ụdị koodu isi mmalite ochie, jiri akwụkwọ mkpesa mberede gọọmentị nke ụdị dakọtara iji nyochaa mgbanwe na ndakọrịta zuru oke, wee hazie mbugharị na-esote.

“Opekempe azụ azụ” ebe a na-akọwa ndakọrịta na oke mmejuputa iwu nke onye ọrụ gọọmentị họpụtara, na e kwesịghị ịkọwa ya ozugbo dị ka “ndozi adịghị ike ezughị ezu amara”. Ị ga-ekpe ikpe dabere na koodu isi mmalite nke alaka ụlọ ọrụ kwekọrọ na ọkwa onye nrụpụta, ma ehichapụla mgbanwe ndị na-akwado ya n’onwe gị. S1S6

8. Usoro nnabata na nleba anya nleba anya

A na-atụ aro ka were nsonaazụ ndị a dị ka ntọala maka imecha nrụzi a:

Ihe nnabataỤkpụrụ mmecha
mkpuchi adịghị ikeWulite ma ọ bụ onye na-ere ahịa na-edozi nke ọma CVE-2026-109618 na CVE-2026-109619
Mkpuchi nnyefeỌnụ ụzọ niile, ọdọ mmiri, ọrụ na ihe nnochite anya na-eji oge arụziri arụziri
Usoro na-arụ ọrụOnye ọrụ ochie, usoro nnabata ochie na akpa ochie niile ọpụpụ
Nyochaa arịrịọ ziri eziEkwenyere SAPI, wuru ma hazie ya na njikọ Web n’ezie iji kpochapụ ntụzịaka cache
nnweta azụmahịaỌrụ ndị dị mkpa dị ka nnọkọ, ibugo, mbubata, na njikwa njehie alaghachila nke ọma.
Ọgwụgwụ nke usoro nwa ogeEweghachitela ebe nchekwa na-akparaghị ókè na nhazigharị nrụpụta ndị ọrụ dịka atụmatụ ikike siri dị ma ọ bụ nwee ihe doro anya maka ijide
Ihe akaebe nke mgbanweDekọọ ụdị ngwungwu ma ọ bụ mgbari onyonyo, oke mmelite, oge mmecha na nsonaazụ nkwenye

Ndị a dị n’elu bụ aro maka mmejuputa. Ọ bụrụ na ịchọrọ ịchọpụta omume OOM, ọpụpụ na-adịghị mma, ma ọ bụ patches omenala, ị ga-eji ule regression elu elu ma ọ bụ ntụtụ mmejọ a na-achịkwa na gburugburu ebe dịpụrụ adịpụ iji zere ịmepụta ike ọgwụgwụ ebe nchekwa ugboro ugboro na gburugburu mmepụta dịka usoro nnabata.

Lelee PHP na-egbu egbu, okuku onye ọrụ, ịmalitegharị ihe na-adịghị mma, arịrịọ njehie na ihe omume WAF tupu na mgbe emelitere. Ndekọ nwere ike inye naanị ihe ngosi nyocha: ihe omume OOM apụtaghị na e jiri ya mee ihe, na enweghị mkpuchi adịghị egosi na ọ dịghị nrigbu emela. Nkwalite ahụ na-edozi ụzọ adịghị ike nke enwere ike iru n’ọdịnihu; Ọ bụrụ na achọpụtaghị ihe adịghị mma dị ka imebi faịlụ ma ọ bụ ntapu nzere, a ga-eme nyocha ihe omume dị iche iche.

Ihe mgbakwunye: isi mmalite na njikọ ndị edepụtara

A na-anakọta njikọ isi mmalite niile n’okpuru. Ndụmọdụ, patches, na ntụzịaka ndị na-ere ahịa na-egosipụta nlele ka nke October 22, 2026; Nkwanye na-esote kwesịrị ịlele maka mmelite ndị na-ere ahịa. Ntụtu aka ndị a nwere nọmba na ederede na-ezo aka na ndenye ndị a.

S1 — PHP akwụkwọ ozi nchekwa na ụdị ndozi

  • Isi mmalite: Project PHP, Ọktoba 21, 2026.
  • Ebumnuche: Oke ihe egwu, ụdị nrụzi ọrụ anọ, usoro nwa oge gọọmentị yana ntuziaka azụmazụ mberede maka alaka ochie.
  • Njikọ: PHP 2026 This security bulletin nọ na ebe nchekwa akwụkwọ akụkọ kwa afọ

S2 — CVE-2026-109618 akwụkwọ akụkọ nka nka

  • Isi mmalite: php/php-src GitHub Security Advisory, Ọktoba 21, 2026.
  • njirimara: GHSA-w8hw-w9fx-j79w.
  • Ebumnuche: Oke mkpuchi maka OOM, mmụba multipart, SAPI dị iche na mbelata.
  • Njikọ: RCE via OOM corruption

S3 — CVE-2026-109619 akwụkwọ akụkọ nka nka

  • Isi mmalite: php/php-src GitHub Security Advisory, Ọktoba 21, 2026.
  • njirimara: GHSA-6wmf-4rv5-p3rp.
  • Nzube: Cross-arịọ arịrịọ steeti, ndị na-emepụta na ndị na-azụ ahịa, mmalite mmalite, mbelata nhazi.
  • Njikọ: RCE via stale global state

S4 - PHP 8.5 nhazi ntinye aka

  • Isi mmalite: php/php-src.
  • Nyefee: 31c0ea7d7ff1d1fccb6492e52dab544011628065.
  • Nzube: Kwenye nrubeisi n’usoro iji dozie adịghị ike abụọ n’otu oge, ma kọwaa ntụzịaka mgbanwe n’ozuzu ya.
  • Njikọ: Avoid state corruption via bailout

S5 — PHP 8.5 eweghachitere nke ọma wee zuo oke

  • Isi mmalite: dị iche na otu nrubeisi ahụ.
  • Nzube: Lelee kpọmkwem mmejuputa atumatu nke allocator, VM, HTTP globals, nnọkọ, serialization na ịrịọ ndụ okirikiri.
  • Njikọ: official complete diff

S6 — PHP 8.1 nrubeisi azụ azụ mberede gọọmentị

S7 — PHP 7.4 alaka ụlọ ọrụ azụ azụ mberede

  • Isi mmalite: php/php-src, PHP ngalaba koodu isi mmalite edepụtara na akwụkwọ akụkọ nchekwa gọọmentị.
  • Njikọ: PHP-7.4-CVE-2026-109618-109619

S8 — PHP 8.0 alaka ụlọ ọrụ azụ azụ mberede

  • Isi mmalite: php/php-src, PHP ngalaba koodu isi mmalite edepụtara na akwụkwọ akụkọ nchekwa gọọmentị.
  • Njikọ: PHP-8.0-CVE-2026-109618-109619

S9 — PHP 8.1 alaka ụlọ ọrụ azụ azụ mberede

  • Isi mmalite: php/php-src, PHP ngalaba koodu isi mmalite edepụtara na akwụkwọ akụkọ nchekwa gọọmentị.
  • Njikọ: PHP-8.1-CVE-2026-109618-109619

S10 - Ubuntu akwụkwọ akụkọ nchekwa USN-8948-1

  • Isi mmalite: Canonical / Ubuntu, Ọktoba 21, 2026.
  • Ebumnuche: Hapụ backport na ihe atụ ụdị ngwugwu zuru ezu.
  • Njikọ: USN-8948-1: PHP vulnerabilities

S11 — PHP-FPM Configuration akwụkwọ ntuziaka

  • Isi mmalite: PHP akwụkwọ gọọmentị.
  • Ebumnuche: Usoro nhazi nhazi dịka php_admin_value, php_admin_flag, pm.max_requests, wdg.
  • Njikọ: PHP-FPM Configuration

S12 — PHP Core INI akwụkwọ ntuziaka nhazi

  • Isi mmalite: PHP akwụkwọ gọọmentị.
  • Ebumnuche: Nkọwa na oke nke arịrịọ ahụ, bulite, ebe nchekwa na nhazi ọgụgụ POST akpaka.
  • Njikọ: Description of core php.ini directives

S13 — Nginx arịrịọ oke nha

S14 — Nginx FastCGI ihe nchekwa arịrịọ

S15 — Nginx Ọnọdụ na nloghachi ntuziaka

  • Isi mmalite: Nginx akwụkwọ gọọmentị.
  • Ebumnuche: syntax nhazi nke if na return.
  • Njikọ: ngx_http_rewrite_module

S16 - Cloudflare PHP2Shell Ntuziaka nchedo