Для PHP2Shell не найдено надёжного временного решения
Используемая в качестве обходной меры настройка session.upload_progress.enabled=0 не устраняет риск полностью. Исправления для двух критических уязвимостей PHP ожидаются 21 октября в 14:00 UTC.
Разработчикам и администраторам PHP-серверов не следует считать отключение Session Upload Progress защитой от двух критических уязвимостей, известных как PHP2Shell. Компания GMO Flatt Security, которая ранее предложила изменить параметр session.upload_progress.enabled=0, позднее уточнила: одной этой настройки недостаточно, а способы обхода такого ограничения ожидаются.
По данным The Hacker News, PHP планирует выпустить исправления 21 октября в 14:00 UTC. Обе уязвимости оценены в 9,2 балла из 10. На момент публикации исходного материала PHP не раскрыло затронутые версии, уязвимый компонент и не предложило собственного временного обходного решения; эти сведения должны появиться вместе с обновлением.
Представители проекта PHP также советуют не полагаться на изменения параметров ini. Разработчик PHP Джина Питер Баньярд заявила, что единственной мерой защиты остаётся обновление PHP, а менеджер релиза PHP 8.6 Джо Фергюсон отдельно предупредил, что настройки ini не спасут от проблемы.
Cloudflare сообщила о ранних попытках эксплуатации уязвимостей и добавила экстренные правила для защищаемых ею сайтов. Компания называет их временной мерой до установки обновления. Подтверждённых компрометаций пока нет, а опубликованный в открытом доступе код эксплойта не был подтверждён как рабочий. Уязвимости также не внесены в каталог CISA известных эксплуатируемых уязвимостей.
Если обновить PHP сразу после выхода патча невозможно, CERT-EU советует изолировать интернет-доступные приложения от публичных сетей до установки исправления. В качестве менее радикального варианта можно ограничить доступ через VPN, списки разрешённых клиентов или аутентификацию на пограничном уровне, убедившись, что исходный сервер нельзя обойти напрямую.
GMO Flatt также рекомендует заранее подготовить процедуру обновления и проверки после него, а на случай компрометации сократить привилегии сервера, объём хранимых на нём данных и количество сохранённых учётных данных, включая облачные роли. Обновлять потребуется именно среду выполнения, которая обслуживает веб-запросы: PHP-FPM, mod_php или CGI.