Описание
Уязвимость функции longjmp() компонента session.upload_progress ядра интерпретатора языка программирования PHP связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного POST-запроса
Вендор
ООО «РусБИТех-Астра»
Palo Alto Networks Inc.
PHP Group
ООО «А-Реал Консалтинг»
АО «Позитив Текнолоджиз»
Наименование ПО
Astra Linux Special Edition
Astra Linux Common Edition
PAN-OS
Panorama
PHP
Программный межсетевой экран Интернет Контроль Сервер
PT NGFW
Версия ПО
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
1.6 «Смоленск» (Astra Linux Common Edition)
1.8 (Astra Linux Special Edition)
3.8 (Astra Linux Special Edition)
10.2 (PAN-OS)
4.8 (Astra Linux Special Edition)
12.2 (PAN-OS)
12.1 (PAN-OS)
11.2 (PAN-OS)
11.1 (PAN-OS)
- (Panorama)
до 8.2.35 (PHP)
от 8.3.0 до 8.3.36 (PHP)
от 8.4.0 до 8.4.27 (PHP)
от 8.5.0 до 8.5.12 (PHP)
до 13.4.1 включительно (Программный межсетевой экран Интернет Контроль Сервер)
до 1.11.12 включительно (сертифицировано: 1.10.3) (PT NGFW)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Средство защиты
ПО программно-аппаратных средств защиты
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
ООО «РусБИТех-Астра» Astra Linux Special Edition 3.8
Palo Alto Networks Inc. PAN-OS 10.2
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.8
Palo Alto Networks Inc. PAN-OS 12.2
Palo Alto Networks Inc. PAN-OS 12.1
Palo Alto Networks Inc. PAN-OS 11.2
Palo Alto Networks Inc. PAN-OS 11.1
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)
Критический уровень опасности (оценка CVSS 4.0 составляет 9,2)
Возможные меры по устранению уязвимости
Использование рекомендаций:
https://cert.europa.eu/publications/security-advisories/2026-018
https://github.com/php/php-src/releases#release-php-8.2.35
https://github.com/php/php-src/releases#release-php-8.3.36
https://github.com/php/php-src/releases#release-php-8.4.27
https://github.com/php/php-src/releases#release-php-8.5.12
Для программных продуктов Palo Alto Networks Inc.:
https://security.paloaltonetworks.com/CVE-2026-109618
Для ОС Astra Linux:
https://wiki.astralinux.ru/x/mI0tI
https://wiki.astralinux.ru/x/k40tI
https://wiki.astralinux.ru/x/lo0tI
https://wiki.astralinux.ru/x/no0tI
https://wiki.astralinux.ru/x/3YwtI
https://wiki.astralinux.ru/x/jo0tI
Для ОС Astra Linux:
- обновить пакет php7.3 до 7.3.31-1~deb10u16 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/x/So8tI
- обновить пакет php8.1 до 8.1.12-1ubuntu4.3.astra8 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/x/So8tI
Для ОС Astra Linux:
обновить пакет php8.2 до 8.2.35-1~deb12u1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/x/d44tI
Для ООО «А-Реал Консалтинг»:
Обновление Интернет Контроль Сервер (для не сертифицированной версии) до версии 13.4.2.
Для АО «Позитив Текнолоджиз:
На хосте, где развернут Captive-portal (по умолчанию это система управления NGFW) выполнить:
• systemctl disable pt-ngfw-captive-portal.service
• systemctl stop pt-ngfw-captive-portal.service
https://ptsecurity.com/research/threatscape/PT-2026-31/
Компенсирующие меры:
- установка настройки memory_limit = -1 на административном уровне, исключив возможность переопределения приложением;
- ограничение параметров конфигурации PHP файла php.ini post_max_size, upload_max_filesize, количество параметров и глубину вложенности входных данных;
- ограничение количества частей и заголовков multipart-запросов на уровне веб-сервера;
- настройка ограничений потребления памяти через cgroups или контейнеры;
- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;
- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- ограничение доступа из внешних сетей (Интернет).
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
- GHSA
EPSS
Процентиль: 100%
0.99999
Критический
9.8 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 9.8
altlinux
13 дней назад
ALT-PU-2026-20122: package `php7` update to version 7.4.33-alt1.p10.2
CVSS3: 9.8
altlinux
17 дней назад
ALT-PU-2026-19936: package `php8.3-soap` update to version 8.3.36-alt1
CVSS3: 9.8
altlinux
17 дней назад
ALT-PU-2026-19935: package `php8.4-soap` update to version 8.4.27-alt1
CVSS3: 9.8
altlinux
17 дней назад
ALT-PU-2026-19934: package `php8.5-soap` update to version 8.5.12-alt1
CVSS3: 9.8
altlinux
17 дней назад
ALT-PU-2026-19933: package `php8.2-soap` update to version 8.2.35-alt1
EPSS
Процентиль: 100%
0.99999
Критический
9.8 Critical
CVSS3
10 Critical
CVSS2