BDU:2026-17191: Уязвимость функции longjmp() компонента session.upload_progress ядра интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольный код
Детали уязвимости BDU:2026-17191
Описание
Уязвимость функции longjmp() компонента session.upload_progress ядра интерпретатора языка программирования PHP связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного POST-запроса
Что делать с BDU:2026-17191
Критическая уязвимость (CVSS 9.2) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:NAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:CCVE — международный идентификатор
CWE-416 — использование после освобождения памяти: к блоку памяти обращаются после вызова free(). Ошибка возникает в C и C++ при работе с указателями, когда освобождённый блок используется в обработчике ошибки, деструкторе или отложенной задаче. Через такой указатель злоумышленник читает и меняет чужие данные и добивается выполнения произвольного кода.
Как атакуют и что делать ▾
Сценарий атаки
Программа обращается к блоку памяти после его освобождения. Атакующий заполняет освобождённую память своими данными.
Последствия
Выполнение произвольного кода, повышение привилегий.
Рекомендации
Обнуляйте указатели после free(), используйте smart pointers (C++), применяйте AddressSanitizer.
Тактики и техники
Уязвимое ПО (18)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 1.7 | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 4.7 | ARM |
| ООО «РусБИТех-Астра» | Astra Linux Common Edition | 1.6 «Смоленск» | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 1.8 | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 3.8 | Не указана |
| Palo Alto Networks Inc. | PAN-OS | 10.2 | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 4.8 | ARM |
| Palo Alto Networks Inc. | PAN-OS | 12.2 | Не указана |
| Palo Alto Networks Inc. | PAN-OS | 12.1 | Не указана |
| Palo Alto Networks Inc. | PAN-OS | 11.2 | Не указана |
| Palo Alto Networks Inc. | PAN-OS | 11.1 | Не указана |
| Palo Alto Networks Inc. | Panorama | - | Не указана |
| PHP Group | PHP | до 8.2.35 | Не указана |
| PHP Group | PHP | от 8.3.0 до 8.3.36 | Не указана |
| PHP Group | PHP | от 8.4.0 до 8.4.27 | Не указана |
| PHP Group | PHP | от 8.5.0 до 8.5.12 | Не указана |
| ООО «А-Реал Консалтинг» | Программный межсетевой экран Интернет Контроль Сервер | до 13.4.1 включительно | Не указана |
| АО «Позитив Текнолоджиз» | PT NGFW | до 1.11.2 включительно (сертифицировано: 1.10.3) | Не указана |
Среды функционирования (11)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 1.7 | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 4.7 | ARM |
| ООО «РусБИТех-Астра» | Astra Linux Common Edition | 1.6 «Смоленск» | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 1.8 | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 3.8 | Не указана |
| Palo Alto Networks Inc. | PAN-OS | 10.2 | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 4.8 | ARM |
| Palo Alto Networks Inc. | PAN-OS | 12.2 | Не указана |
| Palo Alto Networks Inc. | PAN-OS | 12.1 | Не указана |
| Palo Alto Networks Inc. | PAN-OS | 11.2 | Не указана |
| Palo Alto Networks Inc. | PAN-OS | 11.1 | Не указана |
Рекомендации по устранению
Использование рекомендаций: https://cert.europa.eu/publications/security-advisories/2026-018 https://github.com/php/php-src/releases#release-php-8.2.35 https://github.com/php/php-src/releases#release-php-8.3.36 https://github.com/php/php-src/releases#release-php-8.4.27 https://github.com/php/php-src/releases#release-php-8.5.12 Для программных продуктов Palo Alto Networks Inc.: https://security.paloaltonetworks.com/CVE-2026-109618 Для ОС Astra Linux: https://wiki.astralinux.ru/x/mI0tI https://wiki.astralinux.ru/x/k40tI https://wiki.astralinux.ru/x/lo0tI https://wiki.astralinux.ru/x/no0tI https://wiki.astralinux.ru/x/3YwtI https://wiki.astralinux.ru/x/jo0tI Для ОС Astra Linux: - обновить пакет php7.3 до 7.3.31-1~deb10u16 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/x/So8tI - обновить пакет php8.1 до 8.1.12-1ubuntu4.3.astra8 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/x/So8tI Для ОС Astra Linux: обновить пакет php8.2 до 8.2.35-1~deb12u1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/x/d44tI Для ООО «А-Реал Консалтинг»: Обновление Интернет Контроль Сервер (для не сертифицированной версии) до версии 13.4.2. Для АО «Позитив Текнолоджиз: На хосте, где развернут Captive-portal (по умолчанию это система управления NGFW) выполнить: • systemctl disable pt-ngfw-captive-portal.service • systemctl stop pt-ngfw-captive-portal.service https://ptsecurity.com/research/threatscape/PT-2026-31/ Обновление сертифицированной версии программно-аппаратного комплекса PT NGFW до версии 1.10.4 Компенсирующие меры: - установка настройки memory_limit = -1 на административном уровне, исключив возможность переопределения приложением; - ограничение параметров конфигурации PHP файла php.ini post_max_size, upload_max_filesize, количество параметров и глубину вложенности входных данных; - ограничение количества частей и заголовков multipart-запросов на уровне веб-сервера; - настройка ограничений потребления памяти через cgroups или контейнеры; - использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика; - ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - ограничение доступа из внешних сетей (Интернет). Для ОС Astra Linux: обновить пакет php8.2 до 8.2.35-1~deb12u1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-1102SE18HF
SLA ФСТЭК №117
24 часа
по базовой оценке CVSS 9.2
Уточните SLA под вашу среду
Базовый балл 9.2 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Немедленно устранить
Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
CISA KEV — активно эксплуатируется
Включена в каталог Known Exploited Vulnerabilities. Устранение — приоритет.
Информация
Обнаружена
2026-10-21
Опубликована
2026-10-21
Обновлена
2026-11-10
Эксплойт
Существует в открытом доступе
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Сертификация ФСТЭК
Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).
Карточка сертификата в реестре СЗИСертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость модуля vmwgfx ядра операционной системы Linux, позволяющая нарушителю повысить свои привилегии
Уязвимость компонента session.upload_progress ядра интерпретатора языка программирования PHP, позволяющая нарушителю вып
Уязвимость функции skb_zerocopy() модуля net/core/skbuff.c ядра операционной системы Linux, позволяющая нарушителю повыс
Уязвимость алгоритма сжатия данных Brotli программной платформы Node.js, позволяющая нарушителю выполнить произвольный к
Уязвимость модуля nvmet ядра операционной системы Linux, позволяющая нарушителю получить несанкционированный доступ к за
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
