BDU:2026-02404

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2) Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,3) CVSS 9.300000190734863 · AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Уязвимость механизма уничтожения массивов, содержащих объекты интерпретатора языка PHP, позволяющая нарушителю обойти механизм защиты disable_functions и вызвать команды операционной системы

Описание

Уязвимость механизма уничтожения массивов, содержащих объекты интерпретатора языка PHP связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю обойти механизм защиты disable_functions и вызвать команды операционной системы с использованием специально сформированного объекта DateInterval

Способ устранения

Компенсирующие меры: - запуск интерпретатора PHP в изолированном окружении с минимальными привилегиями; - использование отдельных пулов в PHP-FPM для разных пользователей; - использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей; - использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению; - отключение неиспользуемых сервисов среды функционирования интерпретатора PHP; - отключение/удаление неиспользуемых учётных записей пользователей; - минимизация пользовательских привилегий; - использование SIEM-систем для отслеживания событий, связанных с действиями пользователей; - резервное копирование защищаемой информации.

Сведения записи

Дата публикации: 02.03.2026

Класс уязвимости: Уязвимость кода

Статус: Потенциальная уязвимость

Устранение: Информация об устранении отсутствует

Эксплойт: Существует в открытом доступе

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
PHP Group	PHP	8.2	Не указана
PHP Group	PHP	8.3	Не указана
PHP Group	PHP	8.4	Не указана
PHP Group	PHP	8.5	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.