JetBrains PhpStorm cho phép thực thi mã tùy ý qua interpreter trước khi tin cậy dự án

Trong JetBrains PhpStorm trước phiên bản 2026.2, có thể thực thi mã tùy ý trước khi cấp quyền tin cậy cho dự án thông qua interpreter đã được cấu hình.

• JetBrains PhpStorm bị ảnh hưởng từ phiên bản 0 đến các phiên bản nhỏ hơn 2026.2 theo semver. Trạng thái mặc định trong hồ sơ là unaffected ngoài khai báo này.
• Trang Fixed security issues của JetBrains liệt kê lỗi này là được sửa trong 2026.2.
• Bằng chứng hiện có không mô tả độc lập trạng thái của các nhánh phát hành song song hoặc các nhánh về sau, vì vậy không nên tự động suy rộng trạng thái của bản sửa sang mọi nhánh chưa được xác minh.

JetBrains PhpStorm có thể gọi interpreter đã cấu hình trước khi IDE cấp quyền tin cậy cho dự án, dẫn đến thực thi mã tùy ý. Lỗi nằm tại ranh giới giữa việc xử lý dự án chưa được tin cậy và cơ chế thực thi của interpreter, đồng thời được phân loại là CWE-829. Dữ liệu đánh giá được cung cấp mô tả đường tấn công là local, độ phức tạp thấp, không yêu cầu quyền trước đó và không yêu cầu tương tác bổ sung của người dùng; đây là các thuộc tính đánh giá, không phải mô tả về payload hoặc trigger cụ thể. Thành phần bị ảnh hưởng là đường thực thi của configured interpreter, nhưng hồ sơ không nêu rõ loại interpreter, artifact của dự án hoặc chuỗi thực thi chính xác. Bằng chứng hiện có cũng không xác định mọi loại interpreter hoặc mọi cấu hình đều có hành vi giống nhau.

Đường khai thác được đánh giá là local, vì vậy kẻ tấn công cần khả năng tác động đến máy trạm có cài PhpStorm thay vì khai thác trực tiếp qua mạng. Dữ liệu đánh giá cho biết không cần quyền trước đó, độ phức tạp thấp và không cần tương tác bổ sung của người dùng. Hồ sơ không xác nhận một public exploit; bản enrichment được trả về từ CISA ghi nhận exploitation là none và automatable là no trong phạm vi đánh giá đó. Không có bằng chứng trong hồ sơ về chiến dịch, nạn nhân hoặc việc khai thác thực tế cụ thể.

Khai thác thành công có thể cho phép thực thi mã tùy ý trong ngữ cảnh của tiến trình PhpStorm. Dữ liệu tác động được cung cấp cho thấy khả năng ảnh hưởng cao đến tính bảo mật, tính toàn vẹn và tính sẵn sàng, trong khi phạm vi được đánh giá là không thay đổi. Về mặt thực tế, điều này có thể cho phép mã độc đọc hoặc sửa dữ liệu mà tài khoản IDE truy cập được, hoặc làm gián đoạn máy trạm phát triển; tài nguyên cụ thể phụ thuộc vào quyền của hệ điều hành và cấu hình IDE. Hồ sơ không mô tả đường lan truyền qua mạng hoặc thay đổi phạm vi sang hệ thống khác.

Tổ chức nên xem các bản cài JetBrains PhpStorm bị ảnh hưởng là một rủi ro trên máy trạm phát triển. Nếu khai thác thành công, mã tùy ý có thể tác động đến source code, dữ liệu cục bộ, secret, artifact build hoặc các tài nguyên khác mà tài khoản chạy IDE được phép truy cập. Phạm vi ảnh hưởng thực tế nhiều khả năng bị giới hạn bởi quyền của người dùng cục bộ, nhưng các quyền đó có thể bao gồm quyền truy cập repository, package registry hoặc dịch vụ nội bộ tùy cấu hình máy trạm; đây là hậu quả có thể xảy ra, không phải sự cố đã được xác nhận. Bằng chứng được cung cấp không nêu breach, nạn nhân, campaign hoặc liên hệ với ransomware.

1. Nâng cấp JetBrains PhpStorm lên 2026.2, là bản được JetBrains liệt kê cho lỗi này. Không diễn giải thông tin này thành khẳng định rằng mọi nhánh phát hành về sau hoặc song song đều đã được xác minh.
2. Kiểm kê toàn bộ cài đặt PhpStorm, bao gồm các bản cài độc lập và bản được quản lý tập trung, rồi xác định các máy đang chạy phiên bản nhỏ hơn 2026.2.
3. Rà soát các máy có configured interpreter và ưu tiên cập nhật những máy thường mở dự án chưa được tin cậy.
4. Nếu chưa thể cập nhật ngay, áp dụng các biện pháp cô lập hoặc compensating controls đã được tổ chức phê duyệt. Hồ sơ hiện không cung cấp một mitigation riêng của sản phẩm hoặc quy trình vô hiệu hóa interpreter an toàn đã được xác nhận.

1. Kiểm kê các máy trạm có cài JetBrains PhpStorm và đối chiếu phiên bản với ranh giới bị ảnh hưởng. Đây là bước kiểm tra chính để xác định exposure.
2. Kiểm tra cấu hình IDE để xác định máy nào có configured interpreter, đồng thời ghi nhận các dự án có thể được mở trước khi cấp project trust.
3. Đối với các máy đang điều tra, rà soát endpoint và process telemetry xung quanh hoạt động của PhpStorm để tìm dấu hiệu thực thi mã bất thường. Đây chỉ là biện pháp monitoring phòng ngừa, không phải IOC đã được xác nhận.
4. Lưu giữ cấu hình IDE, artifact của dự án và telemetry endpoint khi điều tra sự cố. Hồ sơ không cung cấp đường dẫn tệp, lệnh, sự kiện log hoặc IOC cụ thể nào, vì vậy không nên coi việc không thấy một log cụ thể là bằng chứng máy an toàn.