BDU:2026-02404

Уязвимость механизма уничтожения массивов, содержащих объекты интерпретатора языка PHP связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю обойти механизм защиты disable_functions и вызвать команды операционной системы с использованием специально сформированного объекта DateInterval

Компенсирующие меры:
- запуск интерпретатора PHP в изолированном окружении с минимальными привилегиями;
- использование отдельных пулов в PHP-FPM для разных пользователей;
- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению;
- отключение неиспользуемых сервисов среды функционирования интерпретатора PHP;
- отключение/удаление неиспользуемых учётных записей пользователей;
- минимизация пользовательских привилегий;
- использование SIEM-систем для отслеживания событий, связанных с действиями пользователей;
- резервное копирование защищаемой информации.