Уязвимость в PHP затрагивает веб-сервер NGINX
Обнаруженная в сентябре 2019 года уязвимость в языке PHP, получившая кодовое обозначение CVE-2019-11043, угрожает пользователям NGINX.
Уязвимость в PHP исправлена в выпущенных версиях 7.3.11, 7.2.24 и 7.1.33, но обнаружилось, что проблема актуальна для веб-сервера NGINX. Она проявляется при включении выключенной по умолчанию оптимизации php-fpm, и позволяет удалённое выполнение кода.
Демонстрационный эксплойт доступен по ссылке. Там же описан полный список условий, при которых эксплуатация уязвимости возможна извне.
Утверждается, что уязвимый код присутствует в более ранней версии языка PHP, PHP5. Авторы демонстрационного эксплойта утверждают, что использованная ими техника не подходит для PHP5, но допускают существование альтернативного механизма использования уязвимости.