(Minghui.org) Za posledný týždeň boli v prostrediach PHP, Node.js a Go hlásené závažné bezpečnostné zraniteľnosti. Správcovia serverov, ktorí používajú tieto technológie vrátane populárnych systémov na správu obsahu, ako je WordPress, by mali podniknúť kroky na ochranu svojich služieb pred možným zneužitím.
Od 21. októbra vydali svetové agentúry pre kybernetickú bezpečnosť a oficiálne kanály PHP a Node.js kritické bezpečnostné upozornenia týkajúce sa zraniteľností, ktoré útočníkom bez oprávnenia umožňujú vzdialene spustiť kód (RCE) alebo vyvolať útok na odopretie služby (DoS).
Keďže sa zraniteľnosti nachádzajú v samotnom prostredí na spúšťanie programovacieho jazyka alebo v jeho vstavaných knižniciach, samotná aktualizácia aplikácií, ako sú doplnky WordPress alebo balíky npm, server neochráni. Je potrebné aktualizovať samotné prostredie.
Zraniteľnosti v hlavných technologických platformách
1) PHP (zraniteľnosť „PHP2Shell“)
- Zraniteľnosti umožňujúce vzdialené spustenie kódu: CVE-2026-109618, CVE-2026-109619 (skóre CVSS 9,2; kritické riziko)
- Zhrnutie: Nedostatky sa nachádzajú v správe pamäte a spracovaní globálneho stavu. Keď dôjde k chybe spôsobenej nedostatkom pamäte (OOM), môže to viesť k poškodeniu pamäte alebo k tomu, že následná požiadavka spracovaná tým istým pracovným procesom použije zastaraný stav.
Rozsah vplyvu: Všetky webové stránky a servery používajúce PHP bez bezpečnostných opráv. Útočníci môžu zaútočiť bez prihlasovacích údajov či oprávnení.
2) Node.js
Zraniteľnosti dekodéra Brotli a sieťovej bezpečnosti zahŕňajú CVE-2026-111497 (zápis mimo hraníc pamäte pri spracovaní Brotli) a viacero zraniteľností pri overovaní v protokole TLS a systéme DNS.
- Zhrnutie: Vstavaný dekodér dát komprimovaných pomocou Brotli obsahuje chybu umožňujúcu zápis mimo hraníc pamäte. Existuje tiež riziko obídenia overovania prihlasovacích údajov a názvu hostiteľa.
- Rozsah vplyvu: Spracovanie nedôveryhodných dát komprimovaných pomocou Brotli, externé sieťové pripojenia a služby Node.js používané v proxy serveroch.
3) Jazyk Go a súvisiace frameworky
- Boli vydané bezpečnostné opravy pre príslušné sieťové protokoly, štandardné knižnice a rozšírené frameworky s otvoreným zdrojovým kódom, napríklad HTTP proxy servery a rozhrania na správu siete.
- Rozsah vplyvu: Cloudové služby, ktoré používajú konkrétne verzie modulov Go alebo sú od nich závislé.
Naliehavé kroky pre správcov serverov
Bežné kontroly závislostí balíkov (napríklad kontrola súborov package.json alebo composer.json) nedokážu odhaliť zraniteľnosti v prostredí na spúšťanie programovacieho jazyka. Je potrebné skontrolovať verziu tohto prostredia, ktorá beží na serveri alebo v kontajneroch.
Staršie verzie týchto prostredí, ktorých podpora sa skončila (napríklad PHP vo verzii nižšej ako 8.2 alebo Node.js vo verzii nižšej ako 20), už nedostanú oficiálne bezpečnostné opravy. Aplikácie bežiace na týchto nepodporovaných verziách treba buď aktualizovať na podporovanú verziu s bezpečnostnými opravami, alebo ich izolovať od internetu.
Ak sú zdroje obmedzené, správcovia serverov môžu postupovať podľa týchto krokov:
1) Rýchly prehľad systémov (kontrola verzií)
Prihláste sa na každý server alebo do každého kontajnera a overte, či je používaná verzia prostredia zraniteľná.
- V prípade PHP skontrolujte, či je používaná verzia staršia ako verzia s bezpečnostnou opravou (pozri zoznam nižšie). Poznámka: Niektoré distribúcie Linuxu prenášajú opravy aj do starších verzií, takže bezpečnostné opravy môžu dostávať aj verzie staršie ako 8.2. Prečítajte si oficiálne oznámenia alebo záznamy o balíkoch vašej distribúcie.
- V prípade Node.js skontrolujte, či používate zraniteľnú verziu radu 22.x, 24.x alebo 26.x.
2) Okamžitá aktualizácia na verziu s bezpečnostnou opravou
Aktualizujte svoje prostredie na príslušnú verziu s bezpečnostnou opravou uvedenú nižšie a reštartujte proces služby (napríklad PHP-FPM alebo aplikáciu Node), aby sa vyčistila pamäť:
- Verzie PHP s bezpečnostnou opravou:
PHP radu 8.5: aktualizujte na 8.5.12 (alebo novšiu)
PHP radu 8.4: aktualizujte na 8.4.27 (alebo novšiu)
PHP radu 8.3: aktualizujte na 8.3.36 (alebo novšiu)
PHP radu 8.2: aktualizujte na 8.2.35 (alebo novšiu)
Verzie Node.js s bezpečnostnou opravou:
Node.js 22.x: aktualizujte na 22.23.4 (alebo novšiu)
Node.js 24.x: aktualizujte na 24.22.1 (alebo novšiu)
Node.js 26.x: aktualizujte na 26.12.1 (alebo novšiu)
Poznámka: Podpora Node.js 20 a starších verzií sa skončila. Čo najskôr musíte prejsť na podporovanú verziu.
3) Opätovné zostavenie kontajnerov a obrazov
Ak používate Docker alebo iné cloudové kontajnery, samotná zmena označenia verzie nestačí. Obraz je potrebné opätovne zostaviť, aby sa aktualizovalo aj prostredie, na ktorom je založený, a službu treba znova nasadiť.
Skontrolujte webový aplikačný firewall (WAF) alebo nástroj na vyvažovanie záťaže a overte, či sú zapnuté pravidlá ochrany pred neobvyklou komunikáciou POST a škodlivými komprimovanými paketmi.
Vyššie uvedené informácie poskytujú iba prehľad. V konkrétnych prípadoch musia technickí pracovníci bezodkladne identifikovať a odstrániť riziká podľa podmienok svojho prostredia, aby zaistili bezpečnosť informácií.
