Ошибки в PHP дают удалённо выполнить произвольный код через веб-интерфейс. Затрагивают они продукты Belden - платформу macmon и линейку NetModule NRSW. Уязвим и сам язык PHP. Речь идёт о сбоях при работе с памятью.
Уязвимости PHP с идентификаторами CVE-2026-109618 и CVE-2026-109619
Записи опубликовали 21 октября 2026 года. По шкале CVSS 4.0 оценка - 9.2. Атака идёт по сети, сложность высокая, привилегии и участие пользователя не нужны. Кроме того, 26 октября идентификаторы попали в каталог известных эксплуатируемых уязвимостей KEV. По данным CISA, эксплуатация активна.
Сбой CVE-2026-109618 связан с нехваткой памяти. При исчерпании памяти PHP аварийно прерывает обработку запроса. Не все контексты учитывают такой сценарий. В результате память запроса остаётся неинициализированной, и процедура очистки читает её.
Сбой CVE-2026-109619 описывает похожую ситуацию. Глобальное состояние PHP временно хранит ссылки на память запроса. После освобождения памяти эти ссылки остаются. Следующий запрос читает устаревшие данные. Оба сценария заканчиваются выполнением чужого кода.
Классы ошибок в записях перечислены подробно. Это использование памяти после освобождения, обращение к неинициализированному указателю, некорректная инициализация ресурса. Такие сбои трудно заметить при обычном тестировании. Зато они воспроизводятся стабильно. Также одна из записей ссылается на захват привилегированного процесса.
Условия атаки и ущерб
Для эксплуатации не нужны учётные данные. Атакующему достаточно отправить запросы к веб-интерфейсу. При этом сложность атаки высокая. Оценка отмечает, что требования к атаке присутствуют. Автоматической такую эксплуатацию не считают.
Ущерб по всем трём свойствам оценки - высокий. Конфиденциальность, целостность и доступность страдают в равной мере. В результате сбой в веб-интерфейсе затрагивает устройство целиком. Поэтому локальные настройки не заменят патч.
В продуктах Belden PHP отвечает за веб-интерфейс. У macmon уязвимы версии 6.x и 7.x. При этом у NetModule NRSW затронуты все версии, включая последнюю основную 5.0.0.104. Кроме того, ошибки касаются самого PHP. Записи перечисляют ветки 8.2, 8.3, 8.4 и 8.5.
Детали раскрыли 21 октября 2026 года. В тот же день CERT-FR выпустил оповещение CERTFR-2026-ALE-014. На следующий день Belden опубликовала уведомление о безопасности PSIRT-10. Позже ошибки попали в каталог KEV. Из-за этого откладывать обновление рискованно.
Открытый в интернет веб-интерфейс делает атаку возможной без подготовки. Злоумышленнику не нужны ни логин, ни действия сотрудника. Поэтому доступ стоит закрыть до патча.
Исправления для NRSW и macmon
Belden рекомендует обновить NRSW до версии 5.0.0.105. Если обновление невозможно, веб-интерфейс отключают командами в консоли. До этого нужно установить SSH-подключение - защищённый удалённый доступ к устройству. После этого закрывают доступ по HTTP и HTTPS.
CERT-FR называет затронутыми версии до 5.0.0.104. Производитель поправляет: уязвима и сама 5.0.0.104. Поэтому ориентироваться стоит на версию 5.0.0.105 как на исправленную. Ставить её нужно на все устройства NetModule NRSW.
Для macmon исправление доступно в сервисном портале. Патч ставят поверх актуальной ветки 7.x. При этом версии 6.x сначала обновляют до 7.x. Пока патч не установлен, интерфейс управления по HTTPS не должен быть доступен из интернета. Доступ к порталу гостей ограничивают доверенными сетями.
Серверы с PHP тоже требуют внимания. Исправления вышли в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. При этом более ранние сборки этих ветвей остаются уязвимыми. Поэтому такие серверы обновляют в первую очередь.
После установки исправления веб-интерфейс уже не содержит этих ошибок. Сами ошибки находятся в ядре PHP, поэтому патч затрагивает все скрипты на устройстве. Для macmon это важно: на PHP работает и портал гостей.
Отдельно записи CVE называют Siemens RUGGEDCOM APE1808. Исправленную версию для этих устройств записи не указывают. Для администратора это значит, что проверять нужно весь парк оборудования. Встраиваемый PHP встречается у разных производителей. Поэтому одного обновления Belden может не хватить.
Проверить стоит и сетевой доступ к интерфейсам управления. Ограничение по адресам снижает риск, пока идёт обновление. Однако полную защиту даёт только установка патча. Для сетевого оборудования обновление требует окна обслуживания. Планировать его лучше заранее.
Ссылки
