CVE-2026-24765 in phpunit
Сводка
по VulDB • 30.05.2026
PHPUnit — это фреймворк для тестирования PHP. В версиях, предшествующих 12.5.8, 11.5.50, 10.5.62, 9.6.33 и 8.5.52, обнаружена уязвимость, связанная с небезопасной десериализацией данных покрытия кода (code coverage) при выполнении тестов PHPT. Уязвимость присутствует в методе `cleanupForCoverage()`, который десериализует файлы покрытия кода без проверки, что потенциально может привести к удаленному выполнению кода (RCE), если вредоносные файлы `.coverage` присутствуют до выполнения теста PHPT. Уязвимость возникает, когда файл `.coverage`, который не должен существовать до выполнения теста, десериализуется без ограничения параметра `allowed_classes`. Атакующий, имеющий доступ на запись в файловую систему, может поместить в нее вредоносный сериализованный объект с методом `__wakeup()`, что приведет к произвольному выполнению кода во время запуска тестов с включенной инструментацией покрытия кода. Для эксплуатации этой уязвимости требуется доступ на запись в файловую систему в том месте, где PHPUnit хранит или ожидает файлы покрытия кода для тестов PHPT. Это может произойти в результате атак на конвейеры CI/CD, в локальной среде разработки и/или через скомпрометированные зависимости. Вместо простого молчаливого санитизации ввода через `['allowed_classes' => false]`, разработчик выбрал явное отображение аномального состояния, рассматривая наличие существующих файлов `.coverage` для тестов PHPT как условие ошибки. Начиная с версий 12.5.8, 11.5.50, 10.5.62, 9.6.33, при обнаружении файла `.coverage` для теста PHPT до его выполнения PHPUnit будет выдавать четкое сообщение об ошибке, указывающее на аномальное состояние. Организации могут снизить эффективный риск этой уязвимости за счет правильной настройки CI/CD, включая использование эфемерных исполнителей (ephemeral runners), принудительный контроль качества кода (code review), защиту веток (branch protection), изоляцию артефактов и контроль доступа.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.