NetApp выпустила исправления для уязвимостей PHP в составе ONTAP 9. Атакующий без учётной записи может выполнить свой код на системе хранения. Затронуты конфигурации ONTAP 9, где используется уязвимая сборка PHP. Остальные продукты NetApp не затронуты.
Что именно даёт CVE-2026-109618 в ONTAP 9
Обе уязвимости получили общее имя php2shell. Речь идёт о наборе ошибок в PHP, языке для многих веб-приложений. При этом ветки PHP от 8.2 до 8.5 закрывают версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Обе записи CVE появились 21 октября 2026 года и обновлены в конце месяца. Уже 26 октября их добавили в каталог CISA KEV, где собраны уязвимости с известными атаками.
Обе записи получили 9.2 из 10 по шкале CVSS, общей системе оценки уязвимостей. По сети атакуют без учётных данных и без участия пользователя. Сложность при этом высокая, а для срабатывания нужны особые условия. Для администратора ONTAP при этом есть важная оговорка. Песочница PHP изолирует код от остальной системы.
Как устроен сбой памяти
При нехватке памяти PHP прерывает обработку запроса аварийным переходом. После такого перехода часть внутренних структур остаётся незаполненной. Следующее выделение памяти получает участок в неопределённом состоянии. Затем очистка запроса читает эти данные и может перейти по неверному адресу. Разные сценарии нехватки памяти приводят к одному результату, выполнению чужого кода.
Вторая уязвимость связана с глобальным состоянием PHP. Глобальные переменные временно указывают в память запроса. После освобождения такая ссылка может остаться, и следующий запрос читает устаревшее значение. Ошибка проявляется при следующем запросе к серверу. В результате обе записи дают схожий эффект.
Для ONTAP картина при этом проще. Затронута только одна запись, CVE-2026-109618. Вторая уязвимость касается самого PHP и RUGGEDCOM APE1808 от Siemens. Поэтому администратору хранилища достаточно закрыть одну запись, а разработчику на PHP нужны обе. Установка исправления снимает вопрос целиком.
Кроме того, NetApp описывает и последствия атаки. Возможны раскрытие конфиденциальных данных, изменение данных и отказ в обслуживании. Для системы хранения это означает риск утечки содержимого томов. Кроме того, возможна остановка доступа к данным. Поэтому обновление важно даже при закрытом периметре.
Какие версии ONTAP 9 получили исправление
Уведомление NTAP-20261021-0021 обновлялось постепенно. Первая версия вышла 21 октября 2026 года. В тот же день ONTAP 9 также попал в список затронутых продуктов. Дальше NetApp добавляла исправления по мере готовности, с 24 октября по 4 ноября. Уточнения по обходным мерам появились 22 октября.
Исправления закрывают ветки ONTAP от 9.12 до 9.19. Для веток 9.12, 9.13, 9.14 и 9.15 подходят патчи 9.12.1P20HF1, 9.13.1P21HF1, 9.14.1P18HF1 и 9.15.1P20HF1. Также указаны 9.16.1P16HF1, 9.17.1P11HF1 и 9.17.1P12.
Кроме того, закрыты ветки 9.18 и 9.19. Здесь NetApp называет 9.18.1P8HF1, 9.19.1P3HF1 и 9.19.1P4. Последняя редакция уведомления, 12.0, вышла 4 ноября 2026 года. Документ имеет статус Interim и будет обновляться.
Отдельно NetApp описывает обходные меры. Речь идёт об инструкции по php2shell в базе знаний. Пока патч не установлен, эта инструкция остаётся основным способом снизить риск. Про реальные атаки на ONTAP вендор не сообщает. При этом он пишет об общественном обсуждении уязвимостей, а каталог KEV говорит об их применении на практике.
После установки патча неаутентифицированный запуск кода через PHP перестаёт работать. Для администратора это значит, что обновление возвращает контроль над узлом хранения. Других изменений вендор не описывает. Проверить ветку ONTAP и сравнить её со списком исправленных сборок можно за несколько минут. Обходная мера из базы знаний остаётся временной заменой обновлению.
Ссылки
