Geniş yayılmış PHP qüsuru bu gün bir çox saytın kəsilməsinə səbəb ola bilər

Bu gün xəta səhifələrinə xidmət edən bir neçə vebsayt görəcəyinizi gözləyirik: Veb saytların təxminən 70 faizi təcavüzkarın təsirlənmiş serverlər üzərində tam nəzarəti ələ keçirməsinə imkan verən bir cüt zəifliyi aradan qaldırmaq üçün əsas proqram təminatını yeniləməlidir. Mütəxəssislər deyirlər ki, qüsurlar üçün işləyən istismar üsulları var və bu kritik səhvlər artıq vəhşi təbiətdə istifadə olunur.

Sözügedən çatışmazlıqlar Drupal, Magento, Joomla və WordPress daxil olmaqla, çoxlu sayda veb nəşr sistemlərində işləyən saytları gücləndirən proqramlaşdırma dili olan PHP-də mövcuddur. Bu gün səhər saatlarında PHP, təcavüzkarın həssas serverdə seçdiyi kodu icra etməyə imkan verən iki kritik səhvi düzəltmək üçün təcili təhlükəsizlik yeniləməsini buraxdı.

Reuters xəbər verir ki, PHP zəiflikləri açıqlandıqdan sonra bu gün Avropada və başqa yerlərdə hökumət saytları oflayn olub. Cloudflare artıq çatışmazlıqdan bəzi istifadəni aşkarladığını və saat 03:02-də (UTC) o, veb-saytları xətalardan istifadə etmək istəyən hücum trafikindən qorumaq üçün veb tətbiqi təhlükəsizlik divarı qaydalarını tətbiq etdiyini, bu da xidmət vəziyyətindən imtinaya, uzaqdan kod icrasına və məlumatların ifşasına səbəb ola biləcəyini söylədi.

Zəifliklərin araşdırılması və yayılması ilə məşğul olan OpenAI, "bu qüsurların ciddiliyini və PHP-nin geniş istifadəsini nəzərə alaraq, biz bunu son yaddaşda ən təsirli təhlükəsizlik problemlərindən biri hesab edirik" dedi.

İnternet hostlarının istifadə etdiyi texnologiyanı izləyən Censys şirkəti bildirib ki, bu yaxınlarda aparılan skan nəticəsində təxminən 2,58 milyon İnternetlə üzləşən host və PHP ilə işləyən 54,9 milyon veb mülkiyyət müəyyən edilib.

Wiz-in təhlükəsizlik mütəxəssisləri bildiriblər ki, son on ildə buraxılmış hər PHP versiyası bu zəifliklərdən ən azı birinin təsirinə məruz qalır [tam açıqlama: Wiz bu bloqun reklamçısıdır].

"Bu tapıntılar PHP-də aşkar edilmiş ən ciddi zəifliklər arasında yer alır və şübhəsiz ki, proqram təminatı tarixindədir" deyə zəiflikləri aşkar edən bir neçə təşkilatdan biri olan Wiz-də tədqiqatçılar qrupu tərəfindən dərc edilmiş bloq yazısında deyilir. "Əsas çatışmazlıqlar onilliklər ərzində mövcud idi, lakin onların istismar oluna biləcəyini nümayiş etdirmək insan tədqiqatçılarının praktiki olaraq əldə edə biləcəyinin kənarında olduqca mürəkkəb addımlar silsiləsi tələb edirdi. Sərhəd süni intellekt modelləri bu maneəni əhəmiyyətli dərəcədə azaldıb, uzun müddətdir mövcud olan qüsuru istismara çevirdi."

Wiz tədqiqatçıları deyirlər ki, PHP zəifliklərindən, ehtimal ki, veb-əsaslı arxa qapılar və ya “veb qabıqları” quraşdırmaq üçün kütləvi şəkildə istifadə olunacaq ki, bu da təcavüzkarlara yoluxmuş saytları uzaqdan idarə etməyə imkan verən veb-əsaslı panel verir. Wiz bildirib ki, PHP səhvləri ictimaiyyətə açıqlanmamışdan əvvəl şirkət problemin ölçüsünü ölçmək və yamaqların yoxlanılması və açıqlamasını əlaqələndirmək üçün PHP komandası, Calif və OpenAI ilə işləmişdir.

PHP sıfır gün zəiflikləri onların CVE nömrələri, CVE-2026-109618 və CVE-2026-109619 ilə izlənilir və onlar PHP 5.4 və ya daha sonra işləyən bütün veb serverlərə təsir göstərir. Səhvlər PHP 8.5.12 , 8.4.27 , 8.3.36 və 8.2.35 versiyalarında düzəldilir .

Wiz-ə görə, PHP bir çox veb proqramlarında o qədər dərin yerləşmişdir ki, biz çox güman ki, bu PHP zəiflik cütünü 2021-ci ildə ortaya çıxan Log4Shell zəifliyi ilə müqayisə edərək, bir müddət bu zəiflikləri aradan qaldırmaq üçün mübarizə aparan təşkilatları görəcəyik - Java4j-də populyar logging çərçivəsi.

Wiz tədqiqatçıları yazıb: "Əsas PHP-dəki zəiflik tək tətbiqdən çox kənara çıxır". "PHP buludlar, hostinq provayderləri, məzmun çatdırılması şəbəkələri və milyonlarla müstəqil idarə olunan serverlər üzərində işləyir. Texniki detallar ictimailəşməmişdən əvvəl məruz qalmanın azaldılması bütün ekosistemdə əlaqələndirilmiş iş tələb edirdi."

SANS İnternet Fırtınası Mərkəzi bu PHP qüsurlarını aradan qaldırmaq üçün yeniləmələr göndərən əsas proqram platformalarını izləyir. Məsələn, Ubuntu yenicə yenilənmiş PHP paketlərini buraxdı. Komik kitab üslubunda bu səhvlərin aşkar edilməsinin qrafikini izah edən bu zəifliklərə texniki dərindən nəzər salmaq üçün, PHP qüsurlarını tapmaqda hesablanmış başqa bir texnologiya şirkəti olan Califdən bu yazıya baxın.

Bu, sürətli bir hekayədir. Yeniləmələr burada vaxt ştampları ilə qeyd olunacaq.

Yeniləmə, 14:30 ET: Censys-dən rəqəmlər və Calif-in yazısına bir keçid əlavə edin.