Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]

lwn.net:theregister.com:cybersecuritydive.com+1:PHP Foundation-ը հայտարարել է, որ PHP ծրագրավորման լեզվի երկու կրիտիկական խոցելիություններից մեկի վերացման ձգձգումը «կառուցվածքային ձախողում» էր: Այս մասին հիմնադրամը հայտարարել է չորեքշաբթի՝ հոկտեմբերի 21-ին, այն բանից հետո, երբ թողարկվել են արտակարգ շտկումներ, իսկ աշխարհի կառավարությունները կանխարգելիչ նպատակով անջատել են կայքերը, հայտնում է Reuters-ը՝ վկայակոչելով The Standard-ը: Հիմնադրամի տվյալներով՝ հետազոտողը խոցելիության առաջին նշանները հայտնաբերել է 2024 թվականին, սակայն այն ժամանակ դրա օգտագործման կոնկրետ եղանակ չի գտնվել, և առաջնահերթություն է տրվել ավելի հստակ ազդեցություն ունեցող այլ խնդիրներինthestandard.com.hk:
LWN-ի կողմից մեջբերված բլոգային գրառման մեջ հիմնադրամը նշում է, որ իր անվտանգության թիմը մշակել է մի քանի մրցակցային լուծումներ: Յուրաքանչյուրն ուներ իր գինը. մեկը խախտում էր հետադարձ համատեղելիությունը, մյուսը ստեղծում էր ծառայության մերժման (DoS) նոր ռիսկ, իսկ երրորդը պահանջում էր երրորդ կողմի բազմաթիվ ընդլայնումների փոփոխություն: Թիմը որոշումները կայացնում էր կոնսենսուսով և, ինչպես գրում են, «վախենում էին սխալ ընտրության հետևանքներից»: Քանի որ հեռակա կոդի կատարման ուղին հայտնի չէր, իսկ հիմնական մշակողները շատ այլ պարտականություններ ունեին, աշխատանքը ամիսներ շարունակ բազմիցս կանգ է առել և վերսկսվել: «Մենք չենք փորձի հերքել. ձգձգումը կառուցվածքային ձախողում էր, որը պայմանավորված էր ինչպես անվտանգության թիմի որոշումների կայացման գործընթացով, այնպես էլ ռեսուրսների պակասով», — հայտնել են հիմնադրամումlwn.net:
Խնդիրը կրկին հրատապ է դարձել օգոստոսի 11-ին: Այդ օրը Calif անվտանգության ընկերությունը և OpenAI-ը անկախաբար հայտնել են նույն արմատական պատճառի մասին, և Calif-ը ցույց է տվել, որ կարող է հեռակա կարգով կոդ գործարկել առանց որևէ պայմանի, հայտնում է Cointelegraph-ը: Հիմնադրամի խոսքով՝ դրանից հետո նրանք անվտանգության վերաբերյալ որոշումները կոնսենսուսից տեղափոխել են մեծամասնության քվեարկության և վարձել են ևս երկու ինժեներ: Նրանք նաև կոչ են արել ընկերություններին և կառավարություններին, որոնք կախված են PHP-ից, օգնել ֆինանսավորել անվտանգության աշխատանքները, հայտնում է The Next Web-ը: Թողարկումը մեկ օր շուտ է իրականացվել այն բանից հետո, երբ խոցելիության իդենտիֆիկատորները հայտնվել են համացանցում, իսկ հիմնադրամը քննադատել է Chainguard-ին համակարգված թողարկումից առաջ շտկված պատկերներ հրապարակելու համարtradingview.com+1:
PHP2Shell մականունը ստացած խոցելիությունները գրանցված են որպես CVE-2026-109618 և CVE-2026-109619: Դրանք շտկված են PHP 8.5.12, 8.4.27, 8.3.36 և 8.2.35 տարբերակներում, և պոտենցիալ վտանգի տակ է PHP-ի յուրաքանչյուր տեղադրում, որը սպասարկում է վեբ հարցումներ, հայտնում է The Register-ը: ԱՄՆ-ի, Մեծ Բրիտանիայի, Կանադայի, Ավստրալիայի և Եվրամիության կիբերանվտանգության գործակալությունները վեբ կայքերի օպերատորներին հորդորել են անջատել կայքերը մինչև թարմացումը, հայտնում է Cybersecurity Dive-ը: Անվտանգության հարցերով լրագրող Բրայան Կրեբսը գնահատել է, որ կայքերի գրեթե 70 տոկոսը թարմացման կարիք ունիtheregister.com+2:
Նիդեռլանդները անջատել է իր թվային նույնականացման ծառայությունը: Ֆինլանդիայի պետական IT մատակարար Valtori-ն անջատել է հանրային վեբ ծառայությունները, իսկ Ֆրանսիան ժամանակավորապես անջատել է պրեֆեկտուրաների կայքերը, հայտնում է Cointelegraph-ը: Wikimedia Foundation-ը նույնպես անջատել է որոշ օժանդակ ծառայություններ: Coinbase -ը հայտնել է, որ չի հայտնաբերել PHP-ի խոցելի օրինակներtradingview.com:
ԱՄՆ-ի Կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) հայտնել է, որ իր խորհրդատվությունը հրապարակելիս «չի նկատել այդ խոցելիությունների շահագործում»: Այնուամենայնիվ, գործակալությունը զգուշացրել է, որ դրանք «ռիսկ են ներկայացնում կազմակերպությունների համար, եթե չշտկվեն», հայտնում է Reuters-ըthestandard.com.hk: