Двете уязвимости в PHP съсипаха деня на много хора, които предишния ден не можеха да ползват Revolut
Вчера беше някакъв луд ден – докато четях за спирането на Revolut заради прекъсване на Google Cloud на 20 октомври започна звъненето на собственици на сайтове до хостинг компаниите. После паниката стигна до Европейската комисия (ГД „Съобщения, мрежи, комуникации и технологии“), ENISA, Агенцията на Европейския съюз за киберсигурност, CERT-EU, Европол EC3 и мрежата от национални екипи на ЕС за реагиране при инциденти с компютърната сигурност (мрежа на CSIRT): съветват организациите да предприемат незабавни действия за справяне с две критични уязвимости в PHP, език за програмиране, широко използван за уебсайтове и приложения.
Хостинг компанията Jump.bg написа, че “на 21 октомври PHP публикува обновление за сигурност, което отстранява две критични уязвимости. В статията ще научите кои версии получиха поправка, как да проверите версията на PHP на сайта си и какво да предприемете, ако използвате неподдържана версия.
Двете уязвимости са в самия PHP, а не в конкретна платформа или плъгин:
- CVE-2026-109618. Когато на PHP не му стигне памет по време на обработка на заявка, той може да спре по средата, докато някои вътрешни данни са попълнени само наполовина. При почистването след заявката тези данни се приемат за валидни. Със специално подготвена заявка това може да доведе до изпълнение на код.
- CVE-2026-109619. След края на една заявка в процеса на PHP може да остане информация, която сочи към вече освободена памет. Ако следваща заявка се обработи от същия процес, тя може да използва тази остаряла информация, което също може да доведе до изпълнение на код.”
А върхът беше новината, че Съветът на ЕС приел своята позиция по т.нар. Digital Omnibus (Omnibus VII), пакет от промени, които целят да направят европейските правила за данни, поверителност и киберсигурност по-лесни за прилагане от бизнеса и администрациите:
„Мандатът на Съвета запазва настоящото определение за лични данни и въвежда нова разпоредба относно псевдонимизацията и идентифицирането на физическо лице, с цел да се помогне на дружествата да спазват задълженията си по GDPR чрез изясняване на правилата в тази област. Правилата за съответствие също се опростяват по отношение на неоснователни или прекомерни искания и специфични обстоятелства с нисък риск във връзка със задълженията за предоставяне на информация.
Съветът подкрепя въвеждането на определение за „научно изследване“, основано на принципи, което улеснява последователното прилагане на обработката на лични данни за тази цел и въвежда целенасочени освобождавания от определени задължения, така че изследователските организации да могат да работят в опростена рамка, когато става въпрос за защита на данните.
Освен това, мандатът на Съвета въвежда предпазни мерки към новопредложената дерогация, позволяваща обработката на чувствителни данни за целите на биометричната проверка и в контекста на разработването и експлоатацията на системи с изкуствен интелект. Иновациите и разработването на изкуствен интелект са допълнително подкрепени с разяснения относно законовото основание за обработка на лични данни и необходимостта от поддържане на подходящи предпазни мерки.
Съветът подкрепя и предложението на Комисията за удължаване на крайния срок за уведомяване за нарушения на сигурността на личните данни, както и други мерки за улесняване на спазването на GDPR и осигуряване на по-голяма съгласуваност. Такива мерки включват единен списък на ниво ЕС на категориите обработване, които е вероятно да доведат до висок риск за физическите лица, или установяването на общи образци за организациите, за да изпълняват своите регулаторни задължения.
Мандатът на Съвета запазва правилата относно „бисквитките“ и други видове технологии за онлайн проследяване съгласно директивата за електронна неприкосновеност на личния живот. Тази рамка е актуализирана с по-ясни и допълнителни цели, при които няма да се изисква съгласие за поставянето на „бисквитки“ на потребителско устройство, като по този начин се намалява броят на банерите за „бисквитки“ при навигиране онлайн. Това би се прилагало например, когато е необходимо за предоставянето на услуга, за целите на измерване на аудиторията или за гарантиране на сигурността на устройството на потребителя.
Мандатът на Съвета заменя предложения единен пункт за влизане на ниво ЕС чрез създаването на национален пункт за влизане във всяка държава членка, който да подкрепя и улеснява докладването на инциденти и свързани с тях събития съгласно различните закони на ЕС.
Освен това, мандатът на Съвета предлага създаването на информационен пункт за докладване на инциденти на ниво ЕС, както и специфични разпоредби за хармонизирана рамка за уведомяване за инциденти и за трансгранично уведомяване за инциденти.“
Да не забравяме, че експерти по защита на данните и някои организации за цифрови права изразяват опасения, че част от промените могат постепенно да отслабят някои практически гаранции на GDPR.