Уязвимости PHP: CVE, БДУ ФСТЭК и мониторинг
Уязвимости PHP из реестра БДУ ФСТЭК: 543 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости PHP из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 543.
Уязвимость компонента Util/PHP/eval-stdin.php фреймворка PHPUnit, позволяющая нарушителю выполнить произвольный PHP-код
Уязвимость компонента session.upload_progress ядра интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольный код
Уязвимость функции longjmp() компонента session.upload_progress ядра интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольный код
Уязвимость компонента sapi/cgi/cgi_main.c интерпретатора языка программирования PHP, позволяющая нарушителю выполнить произвольный код
Уязвимость интерпретатора языка программирования PHP, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системмы, позволяющая нарушителю вып
Уязвимость компонента sapi/fpm/fpm/fpm_main.c расширения PHP-FPM интерпретатора языка программирования PHP, позволяющая нарушителю выполнять произвольные команды
Уязвимость функции mailSend библиотеки PHPMailer, позволяющая нарушителю выполнить произвольный код
Уязвимость компонента thinkphp/library/think/App.php фреймворка ThinkPHP, позволяющая нарушителю выполнить произвольный PHP код в целевой системе
Уязвимость фреймворка ThinkPHP, связанная с неверным управлением генерацией кода, позволяющая нарушителю выполнить произвольные команды
Уязвимость файла setup.php веб-приложения для администрирования систем управления базами данных phpMyAdmin, позволяющая нарушителю выполнить произвольный PHP-код
Почему важно отслеживать уязвимости PHP
PHP — язык, на котором работают WordPress, Битрикс, Laravel, Symfony и большинство российских веб-приложений. Уязвимость в PHP-интерпретаторе затрагивает все приложения на сервере. Типовые CVE: инъекции через обработку параметров (CGI, FastCGI), переполнение буфера в расширениях (mbstring, json, openssl), обход ограничений через десериализацию объектов. PHP Foundation выпускает обновления безопасности для актуальных версий (8.2, 8.3, 8.4). Устаревшие версии (7.4 и ниже) больше не получают патчей — каждая новая CVE остаётся без исправления. Мониторинг CVE PHP через БДУ ФСТЭК необходим для всех веб-серверов организации.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей PHP
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
