Kaj se je zgodilo
PHP je 26. oktobra 2026 izdal nove Windows gradnje – različice 8.5.12-1, 8.4.27-1, 8.3.36-1 in 8.2.35-1. Vsaka od njih zdaj vključuje Brotli 1.2.1, ki odpravlja ranljivost CVE-2026-111497, znano pod imenom HTTP2Shell. Po navedbah Cyber Security News je šlo prvotno za napako, imenovano Node2Shell, saj jo je Node.js razkril v svojem varnostnem obvestilu 21. oktobra. Ko se je izkazalo, da je prizadetih več vrst programske opreme, se je uveljavilo ime HTTP2Shell.
Ranljivost se nahaja v Googlovi knjižnici Brotli, ki jo številni programi uporabljajo za razpakiranje stisnjenih podatkov. Gre za zapis izven meja pomnilnika (out-of-bounds write), kar pomeni, da koda zapiše podatke preko predvidenega pomnilniškega območja. Po podatkih NVD prizadene različice Brotli od 1.0.3 do 1.2.0 na vseh platformah in oddaljenemu neavtenticiranemu napadalcu omogoča poškodbo pomnilnika dekoderja, razkritje občutljive vsebine pomnilnika, zavrnitev storitve ali potencialno izvedbo poljubne kode. Google je ranljivosti dodelil oceno CVSS 4.0 9.2 (CRITICAL). Po navedbah vira lahko ranljiv dekoder na sistemih Windows doseže razširitev cURL, kadar je omogočeno samodejno dekompresiranje HTTP odgovorov, kar pa je privzeto izklopljeno.
Poleg tega PHP advisory, naveden v zapisih, pojasnjuje povezavo z dvema dodatnima kritičnima ranljivostima, CVE-2026-109618 in CVE-2026-109619, ki prav tako omogočata oddaljeno izvajanje kode (RCE) zaradi nepravilnega ravnanja z globalnim stanjem pomnilnika pri zahtevah. Obe imata oceno CVSS 4.0 9.2 (CRITICAL) po oceni [email protected], pri NVD pa je CVE-2026-109618 ocenjena s CVSS 3.1 9.8 (CRITICAL), CVE-2026-109619 pa s CVSS 3.1 8.1 (HIGH). Za obe velja, da sta bili 26. oktobra 2026 dodani v katalog CISA KEV, njuna EPSS vrednost pa je po podatkih z dne 25. oktobra skoraj 100 odstotna. EPSS za CVE-2026-111497 na isti datum znaša 32,8 odstotka.
Kaj to pomeni za slovenska in evropska podjetja
PHP poganja velik delež spletnih aplikacij in strežnikov v Evropi, zato je nabor treh kritičnih ranljivosti, od katerih sta dve že v katalogu CISA KEV, pomemben signal za vse organizacije, ki uporabljajo PHP na okolju Windows. Uvrstitev v KEV katalog pomeni, da ameriška agencija CISA ranljivosti obravnava kot potrjeno tvegane in zahteva prednostno obravnavo. Visoke EPSS vrednosti dodatno kažejo na povečano verjetnost izkoriščanja v bližnji prihodnosti, čeprav to samo po sebi ne pomeni, da je izkoriščanje že potrjeno v praksi.
Priporočeni ukrepi
- Namestite nove PHP Windows gradnje (8.5.12-1, 8.4.27-1, 8.3.36-1 ali 8.2.35-1) brez odlašanja.
- Preverite, ali imate v okolju omogočeno samodejno dekompresiranje HTTP odgovorov v cURL, saj je to pot, preko katere ranljiv Brotli dekoder doseže PHP na Windows.
- Preglejte, katere druge aplikacije v vašem okolju uporabljajo Brotli različice med 1.0.3 in 1.2.0, in jih posodobite na 1.0.10, 1.1.1 ali 1.2.1.
- Glede na uvrstitev CVE-2026-109618 in CVE-2026-109619 v CISA KEV katalog obravnavajte posodobitev PHP kot prednostno nalogo.
Vprašanja in odgovori
Ali je HTTP2Shell že aktivno izkoriščan? V dejstvih ni potrjenega statusa aktivnega izkoriščanja za CVE-2026-111497. Za CVE-2026-109618 in CVE-2026-109619 pa je CISA 26. oktobra 2026 potrdila uvrstitev v katalog KEV.
Katere PHP različice je treba posodobiti? PHP je izdal posodobljene Windows gradnje 8.5.12-1, 8.4.27-1, 8.3.36-1 in 8.2.35-1.
Pogosta vprašanja
Ali je HTTP2Shell že aktivno izkoriščan?
V dejstvih ni potrjenega statusa aktivnega izkoriščanja za CVE-2026-111497. Za CVE-2026-109618 in CVE-2026-109619 pa je CISA 26. oktobra 2026 potrdila uvrstitev v katalog KEV.
Katere PHP različice je treba posodobiti?
PHP je izdal posodobljene Windows gradnje 8.5.12-1, 8.4.27-1, 8.3.36-1 in 8.2.35-1, ki vključujejo popravljeno knjižnico Brotli 1.2.1.
Sorodne objave
- GraphQL-core: ranljivost DoS v validacijskem pravilu OverlappingFieldsCanBeMerged
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej