CVE | BitPage

🔍 #CVE

26 Oct 2026

PHP 5.6 и PHP2Shell: патч sury поверх Dockerfile, который удалили из репозитория в 2019 году

Для 5.6 официального бэкпорта нет, но патч есть: sury 0261 — 13 файлов, +114/−75 — ложится на ванильный php-5.6.40 с --fuzz=0, только со смещениями строк. Dockerfile 5.6 удалён из docker-library 1 февраля 2019 коммитом e9320fdb752e, и восстанавливать его надо из коммита 783878384a8f, а не из последнего состояния дерева: там добавился chmod 777 на /var/www/html. Плюс три мёртвые ссылки в Dockerfile 2019 года и почему патч NEWS не ложится.

Безопасность #PHP #CVE #EOL 14 мин

26 Oct 2026

PHP2Shell на PHP 7.1–7.4 после EOL: официальный бэкпорт, патчи sury и RPM для CentOS 6

Для 7.4 вышел официальный бэкпорт — коммит 712e60f9edfd, 17 файлов, +240/−59, но на 7.2.34 он даёт 46 отклонённых кусков. Для 7.3, 7.2 и 7.1 исправление есть только в пакетах sury, и каждый фикс требует патчей-зависимостей: без 0107 сборка падает на ZSTR_MAX_LEN undeclared, хотя patch --dry-run чистый. Плюс почему для 7.1 годится только пакет 7.1.33-81, почему патчить надо последний релиз ветки и как собрать RPM под CentOS 6, когда откатиться не на что.

Безопасность #PHP #CVE #EOL 19 мин

26 Oct 2026

docker build --pull прошёл, а PHP остался уязвимым: как теги образов замораживаются молча

Тег php:8.2-fpm-bullseye не обновлялся с 5 августа 2025 года и несёт уязвимый PHP 8.2.29, php:8.2-fpm и php:8.2-fpm-trixie — это один и тот же digest, а wordpress:latest совпадает по digest с wordpress:php8.3-apache. Шесть механизмов, которыми Docker-теги обманывают при закрытии PHP2Shell (CVE-2026-109618 и CVE-2026-109619), проверка версии PHP в теге одним запросом без pull и сборка своего образа 8.0.30 с официальным бэкпортом.

Инфраструктура #Docker #PHP #CVE 16 мин

26 Oct 2026

PHP2Shell (CVE-2026-109618 и CVE-2026-109619): где взять исправление для каждой ветки и какие смягчения вредят

Две RCE в PHP с CVSS 9.2 закрыты релизами 8.2.35, 8.3.36, 8.4.27 и 8.5.12, а для EOL-ветвей 8.1, 8.0 и 7.4 выпущены только минимальные бэкпорты — ветки в php-src без релизов и образов. Таблица «ветка → источник исправления» для восьми ветвей от 5.6 до 8.4, разбор смягчений из advisory и предупреждение: RLIMIT_AS и ulimit -v сами вызывают уязвимый сбой.

Безопасность #PHP #CVE #RCE 15 мин