W PHP wykryto dwie krytyczne podatności o nazwie PHP2Shell, których ocena szkodliwości wynosi aż 9.2 w skali 10. Oficjalna poprawka ma zostać wydana 21 października o godzinie 14:00 UTC. Do tego czasu administratorzy nie mają możliwości pełnego zabezpieczenia systemów przed zdalnym wykonaniem kodu (RCE).
W sieci krąży sugestia, aby wyłączyć funkcję Session Upload Progress poprzez ustawienie session.uploadprogress.enabled=0. Eksperci z GMO Flatt Security oraz deweloperzy PHP ostrzegają jednak, że zmiana ta nie stanowi pełnej ochrony i nie można na niej polegać jako na skutecznym zabezpieczeniu. Nie ma pewności, czy problem faktycznie leży w tej konkretnej funkcji.
Zalecane działania minimalizujące ryzyko obejmują odizolowanie serwerów PHP od publicznego internetu, umieszczenie ich za kontrolą dostępu (np. VPN lub allowlista) oraz ograniczenie uprawnień serwera. Należy również przygotować procedury na natychmiastowe wdrożenie aktualizacji środowiska uruchomieniowego (PHP-FPM, modphp lub CGI) zaraz po jej udostępnieniu.
Ważne jest, aby pamiętać, że aktualizacja samej aplikacji, takiej jak WordPress czy Laravel, nie naprawi problemu. Konieczna jest aktualizacja samego interpretera PHP na poziomie systemu operacyjnego, kontenera lub u dostawcy hostingu. Poprawki będą obejmować wspierane wersje od 8.2 do 8.5.
