PHP 8.3.22: урахування TLS_CACERT для LDAP StartTLS

Адміністраторам, які використовують PHP для взаємодії з LDAP-серверами через StartTLS, слід оновитися до версії 8.3.22. Це оновлення усуває регресію, яка могла призвести до використання незахищених з'єднань через ігнорування налаштувань сертифікатів.

Випущений 5 червня 2025 року PHP 8.3.22 вирішує проблему GH-18529. Помилка полягала в тому, що функція ldap_start_tls перестала враховувати параметр TLS_CACERT, визначений у файлі конфігурації ldaprc. Це означало, що PHP не міг коректно перевірити сертифікат CA, що робило з'єднання вразливим до атак, оскільки перевірка автентичності сервера не виконувалася належним чином.

Рекомендації:

• Оновіть PHP до версії 8.3.22.
• Після оновлення перевірте файл ldaprc та переконайтеся, що шлях до TLS_CACERT вказано коректно.
• Виконайте тестове підключення до LDAP-сервера, щоб підтвердити, що StartTLS успішно валідує сертифікат CA згідно з налаштуваннями.

Що це означає для бізнесу

Ігнорування налаштувань сертифікатів при підключенні до LDAP через StartTLS робить з'єднання вразливим до перехоплення даних. Для адміністраторів це означає, що автентифікація користувачів може відбуватися через незахищені канали, що створює ризик компрометації облікових даних.

Практичний крок: Оновіть PHP до версії 8.3.22 та перевірте конфігурацію ldaprc. Зверніться до Softline для проведення аудиту налаштувань безпеки ваших LDAP-з'єднань та отримання допомоги з впровадження захищених протоколів автентифікації.