Уязвимость в PHP затрагивает веб-сервер NGINX

Обнаруженная в сентябре 2019 года уязвимость в языке PHP, получившая кодовое обозначение CVE-2019-11043, угрожает пользователям NGINX.

Уязвимость в PHP исправлена в выпущенных версиях 7.3.11, 7.2.24 и 7.1.33, но обнаружилось, что проблема актуальна для веб-сервера NGINX. Она проявляется при включении выключенной по умолчанию оптимизации php-fpm, и позволяет удалённое выполнение кода.

Демонстрационный эксплойт доступен по ссылке. Там же описан полный список условий, при которых эксплуатация уязвимости возможна извне.

Утверждается, что уязвимый код присутствует в более ранней версии языка PHP, PHP5. Авторы демонстрационного эксплойта утверждают, что использованная ими техника не подходит для PHP5, но допускают существование альтернативного механизма использования уязвимости.