Multiple vulnerabilități PHP permite atacuri DoS și de corupere a memoriei

Au fost dezvăluite mai multe vulnerabilități de securitate în PHP care ar putea permite atacatorilor să provoace atacuri de tip denial-of-service (DoS) și să cauzeze coruperea memoriei, afectând aplicațiile web utilizate pe scară largă.

Vulnerabilitățile, identificate ca CVE-2026-12184 și CVE-2026-14355, au fost publicate prin intermediul avizelor oficiale de securitate PHP și afectează mai multe ramuri active ale mediului de executare al acestui limbaj.

Cea mai severă, CVE-2026-12184, este o vulnerabilitate cu impact ridicat în implementarea wrapper-ului de flux HTTP al PHP. Vulnerabilitatea apare în funcția care gestionează conexiunile HTTP atunci când configurarea Transport Layer Security (TLS) eșuează.

Mai precis, atunci când PHP încearcă să stabilească o conexiune securizată și inițializarea TLS eșuează, objectul de stream intern este închis și resetat.

Cu toate acestea, codul continuă să execute o rutină de cleanup care presupune că fluxul este încă valid, ceea ce duce la operațiuni nesigure asupra unei referințe nule.

Această condiție poate fi declanșată de la distanță prin producerea unor erori de validare TLS, cum ar fi prezentarea unui certificat expirat sau a unui nume de peer nepotrivit.

Atunci când este declanșată cu succes, vulnerabilitatea poate bloca PHP FastCGI Process Manager (PHP-FPM), poate închide toate procesele de lucru și poate provoca o întrerupere completă a serviciului.

Versiunile afectate includ versiunile PHP anterioare versiunilor 8.3.32, 8.4.21 și 8.5.6. Utilizatorilor li se recomandă insistent să treacă la versiunile actualizate, în care a fost remediată logica necorespunzătoare de cleanup.

Într-un aviz separat, CVE-2026-14355 descrie o vulnerabilitate de corupere a memoriei în extensia OpenSSL a PHP.

Problema este legată de utilizarea algoritmului de criptare AES-WRAP-PAD, care nu este utilizat pe scară largă, dar este încă prezent în unele implementări. Vulnerabilitatea provine din calculele incorecte ale dimensiunii bufferului în timpul operațiunilor de criptare.

Conform avizului, bufferul de output este alocat pe baza lungimii textului în clar, fără a ține cont de paddingul necesar sau de metadatele suplimentare definite în RFC 5649.

Ca urmare, memoria alocată este prea mică, iar OpenSSL scrie dincolo de limitele bufferului în timpul criptării.

Acest lucru duce la coruperea heap-ului managerului de memorie Zend, ceea ce s-ar putea să nu provoace blocarea imediată a aplicației, dar poate declanșa erori ulterior, atunci când se accesează structuri de memorie corupte.

În mediile afectate, această vulnerabilitate poate duce la blocarea aplicației sau la scăderea stabilității, permițând un atac de tip denial-of-service.

Deși complexitatea atacului este considerată ridicată din cauza necesității unor algoritmi specifici, absența cerințelor de autentificare sporește riscul potențial în aplicațiile expuse.

Această problemă afectează versiunile PHP anterioare versiunilor 8.2.32, 8.3.32, 8.4.23 și 8.5.8. Au fost lansate patch-uri pentru a corecta dimensionarea bufferului și a preveni situațiile de suprascriere a memoriei.

Ambele vulnerabilități evidențiază riscurile asociate gestionării necorespunzătoare a erorilor și a memoriei în componentele de bază ale limbajelor de programare utilizate pe scară largă.

Sursă: https://cybersecuritynews.com/multiple-php-vulnerabilities-dos/