Pilny komunikat dotyczący bezpieczeństwa: PHP, Node.js i Go

(Minghui.org) W ciągu ostatniego tygodnia zgłoszono poważne luki w zabezpieczeniach środowisk uruchomieniowych PHP, Node.js i Go. Administratorzy obsługujący serwery wykorzystujące te technologie, w tym popularne systemy zarządzania treścią, takie jak WordPress, muszą podjąć działania w celu ochrony swoich usług przed potencjalnym wykorzystaniem tych luk.

Od 21 października światowe agencje ds. cyberbezpieczeństwa oraz oficjalne kanały informacyjne PHP i Node.js opublikowały krytyczne biuletyny bezpieczeństwa dotyczące luk, które umożliwiają nieuprawnionym atakującym zdalne wykonanie kodu (RCE) lub przeprowadzenie ataku typu odmowa usługi (DoS).

Ponieważ luki występują w środowisku uruchomieniowym języka lub wbudowanych bibliotekach, sama aktualizacja aplikacji front-end, takich jak wtyczki WordPress czy pakiety npm, nie zapewni ochrony serwera; konieczna jest aktualizacja samego środowiska uruchomieniowego języka.

Luki w zabezpieczeniach głównych stosów technologicznych

1) PHP (luka „PHP2Shell”)

- Luki umożliwiające zdalne wykonanie kodu: CVE-2026-109618, CVE-2026-109619 (ocena CVSS 9,2, ryzyko krytyczne)
- Podsumowanie: Luki występują w podstawowym zarządzaniu pamięcią i obsłudze stanu globalnego. Wywołanie błędu braku pamięci (OOM) może prowadzić do uszkodzenia pamięci lub wykorzystania nieaktualnego stanu przez późniejsze żądanie obsługiwane przez ten sam proces roboczy.
Zakres wpływu: Wszystkie strony internetowe i serwery z PHP, na których nie zainstalowano poprawek. Atakujący mogą przeprowadzać ataki bez konieczności posiadania danych uwierzytelniających ani uprawnień.

2) Node.js

Luki w zabezpieczeniach dekodera Brotli i sieci obejmują CVE-2026-111497 (zapis poza granicami pamięci w Brotli) oraz liczne luki w uwierzytelnianiu TLS/DNS.
- Podsumowanie: Wbudowany dekoder danych skompresowanych w formacie Brotli zawiera błąd polegający na zapisie poza granicami pamięci; istnieje również ryzyko ominięcia weryfikacji danych uwierzytelniających i nazwy hosta.
- Zakres wpływu: Obsługa niezaufanych danych skompresowanych w formacie Brotli, zewnętrzne połączenia sieciowe oraz usługi Node.js dla serwerów proxy.

3) Język Go i powiązane frameworki

- Opublikowano poprawki bezpieczeństwa dla odpowiednich protokołów sieciowych, bibliotek standardowych oraz popularnych frameworków open source, takich jak proxy HTTP i interfejsy do zarządzania siecią.
- Zakres wpływu: Usługi natywne dla chmury, które wykorzystują określone wersje modułów Go lub są od nich zależne.

Pilne działania dla administratorów serwerów

Tradycyjne sprawdzanie zależności pakietów (takie jak skanowanie plików package.json lub composer.json) nie pozwala wykryć luk w zabezpieczeniach środowiska uruchomieniowego. Konieczne jest sprawdzenie wersji środowiska uruchomieniowego działającego na serwerze i/lub w kontenerach.

Starsze wersje środowisk uruchomieniowych języków programowania, które osiągnęły koniec cyklu życia (takie jak PHP poniżej wersji 8.2 lub Node.js poniżej wersji 20), nie będą otrzymywać oficjalnych poprawek. Aplikacje działające na tych wersjach, których wsparcie zostało zakończone, należy albo zaktualizować do obsługiwanej, poprawionej wersji, albo odizolować od Internetu.

Jeśli zasoby są ograniczone, administratorzy serwerów mogą wykonać kolejno następujące kroki:

1) Szybka inwentaryzacja zasobów (sprawdzenie wersji)

Zaloguj się do każdego serwera lub kontenera i sprawdź, czy problem dotyczy wersji środowiska uruchomieniowego danego języka.

- W przypadku PHP sprawdź, czy uruchomiona wersja jest starsza niż wersja, dla której dostępne są poprawki (zobacz listę poniżej). Uwaga: Niektóre dystrybucje Linuksa wprowadzają poprawki wstecznie, więc wersje starsze niż 8.2 mogą nadal otrzymywać poprawki. Sprawdź oficjalne ogłoszenia lub dzienniki pakietów dla swojej dystrybucji.

- W przypadku Node.js sprawdź, czy używasz jednej z wersji 22.x, 24.x lub 26.x, których dotyczy problem.

2) Natychmiastowa aktualizacja do wersji z poprawkami

Zaktualizuj swoje środowisko do odpowiedniej wersji z poprawkami podanej poniżej i uruchom ponownie proces usługi (np. PHP-FPM lub aplikację Node), aby wyczyścić pamięć resztkową:

- Wersje PHP z poprawkami:
Seria PHP 8.5: zaktualizuj do wersji 8.5.12 (lub nowszej)
Seria PHP 8.4: zaktualizuj do wersji 8.4.27 (lub nowszą)
Seria PHP 8.3: zaktualizuj do wersji 8.3.36 (lub nowszej)
Seria PHP 8.2: zaktualizuj do wersji 8.2.35 (lub nowszej)

Zaktualizowane wersje Node.js:
Node.js 22.x: zaktualizuj do wersji 22.23.4 (lub nowszej)
Node.js 24.x: zaktualizuj do wersji 24.22.1 (lub nowszej)
Node.js 26.x: zaktualizuj do wersji 26.12.1 (lub nowszej)

Uwaga: Wsparcie dla Node.js 20 i wcześniejszych wersji zostało zakończone. Należy jak najszybciej zaktualizować oprogramowanie do wspieranej wersji.

3) Kompilacja kontenerów i obrazów

Jeśli korzystasz z Dockera lub innych kontenerów natywnych dla chmury, sama zmiana tagu nie wystarczy; obraz należy skompilować od nowa, aby zapewnić aktualizację środowiska uruchomieniowego oraz ponowne wdrożenie usługi.

Sprawdź swoją zaporę sieciową aplikacji internetowych (WAF) lub moduł równoważenia obciążenia, aby upewnić się, czy włączone są reguły ochrony przed nietypowym ruchem POST i złośliwymi skompresowanymi pakietami.

Powyższe informacje stanowią jedynie ogólny zarys. W konkretnych przypadkach personel techniczny musi pilnie zidentyfikować i wyeliminować zagrożenia w oparciu o swoje środowiska, aby zapewnić bezpieczeństwo informacji.

Tekst oryginalny ukazał się w wersji anglojęzycznej na stronie en.Minghui.org dnia 28 października 2026 roku