BDU:2025-11445 (CVE-2024-1874)

Уязвимость функции proc_open() интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольные команды

Опубликовано: 2025-09-22

Описание

Уязвимость функции proc_open() интерпретатора языка программирования PHP существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды

Затрагиваемое ПО и версии

Fedora (39)АЛЬТ СП 10Fedora (40)PHP (от 8.1.0 до 8.1.28)PHP (от 8.2.0 до 8.2.18)PHP (от 8.3.0 до 8.3.5)

Способ устранения

Использование рекомендаций:
https://github.com/php/php-src/security/advisories/GHSA-pc52-254m-w9w7

Для PHP:
https://www.openwall.com/lists/oss-security/2024/04/12/11
https://www.openwall.com/lists/oss-security/2024/06/07/1

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PKGTQUOA2NTZ3RXN22CSAUJPIRUYRB4B/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/W45DBOH56NQDRTOM2DN2LNA2FZIMC3PK/

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Оценка CVSS

Балл	9.7 — критическая опасность

Источники и патчи

https://www.openwall.com/lists/oss-security/2024/04/12/11 https://www.openwall.com/lists/oss-security/2024/06/07/1 https://nvd.nist.gov/vuln/detail/CVE-2024-1874 https://github.com/php/php-src/security/advisories/GHSA-pc52-254m-w9w7 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PKGTQUOA2NTZ3RXN22CSAUJPIRUYRB4B/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/W45DBOH56NQDRTOM2DN2LNA2FZIMC3PK/https://altsp.su/obnovleniya-bezopasnosti/

Проверьте безопасность своего сайта и почты → Полная проверка домена