Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
[forminator_form id="25163"]

bleepingcomputer.com:wiz.io:reuters.com+1:Չորեքշաբթի՝ հոկտեմբերի 21-ին, PHP-ի մշակողները թողարկեցին անսպասելի անվտանգության թարմացումներ՝ լեզվի միջուկում առկա երկու կրիտիկական խոցելիությունների համար: Այս սխալները միասին կոչվում են PHP2Shell, և դրանք թույլ են տալիս հարձակվողին առանց հաշվի մուտք գործելու կոդ գործարկել վեբ սերվերների վրա: BleepingComputer-ը հայտնում է, որ շտկված տարբերակներն են PHP 8.5.12, 8.4.27, 8.3.36 և 8.2.35: Խոցելիությունները հետևվում են որպես CVE-2026-109618 և CVE-2026-109619, և յուրաքանչյուրը CVSS v4.0 սանդղակով գնահատվում է 9.2: The Hacker News-ը հայտնում է, որ PHP-ն դրանք թողարկել է մոտավորապես 14:00 UTC-ին՝ հոկտեմբերի 22-ի նախատեսված բացահայտումից մեկ օր առաջ:bleepingcomputer.com+1
Վտանգը մեծ է, քանի որ խոցելիությունները գտնվում են հենց runtime-ում, այլ ոչ թե առանձին հավելվածներում: Wiz Research-ը, որը հայտնաբերել է դրանք, նշում է, որ PHP-ն աշխարհի կայքերի մոտ 70%-ի հիմքն է, և որ վերջին տասնամյակի PHP-ի յուրաքանչյուր տարբերակ՝ սկսած 5.4-ից, ունի առնվազն մեկ նման սխալ:ncsc.gov.uk
Reuters-ի հաղորդմամբ՝ Նիդեռլանդներում և Ֆինլանդիայում պետական գերատեսչությունները կանխարգելիչ նպատակով անջատել են իրենց կայքերը: Եվրոպայի, Ավստրալիայի, Ճապոնիայի և Մեծ Բրիտանիայի կիբերանվտանգության գործակալությունները PHP-ի օգտատերերին հորդորել են անհապաղ թարմացնել համակարգերը կամ անջատել կայքերը: Նիդեռլանդների կիբերանվտանգության գործակալությունը անջատել է իր սեփական կայքը: Նույնը արել են նաև Նիդեռլանդների խորհրդարանի ստորին պալատը և Հանրային առողջության և շրջակա միջավայրի ազգային ինստիտուտը, հայտնում է BBC-ն: Մեծ Բրիտանիայի Ազգային կիբերանվտանգության կենտրոնը խորհուրդ է տվել, որ "այնտեղ, որտեղ անհապաղ շտկումը հնարավոր չէ, կազմակերպությունները պետք է դիտարկեն համակարգը անջատելու տարբերակը":reuters.com+1
Մինչ թարմացումների թողարկումը, Cloudflare-ի տեխնիկական տնօրեն Դեյն Նեչտը ասել է. "Մենք տեսնում ենք հարձակումների սկզբնական նշաններ" և ընկերության firewall-ի կանոնները անվանել է "միայն ժամանակավոր լուծում": Հաջողված ներխուժում չի հաստատվել: 11:26 UTC-ի դրությամբ watchTowr-ը չի արձանագրել ոչ մի շահագործման դեպք:thehackernews.com+1
Խոցելիությունները ազդում են PHP-FPM-ի, Apache-ի (mod_php-ով), php-cgi-ի, FrankenPHP-ի և LiteSpeed-ի վրա: PHP-ի թիմը նշում է, որ mod_php-ն ամենամեծ ռիսկն է պարունակում, քանի որ ցուցադրված շահագործումը կարող է գործարկվել չարտոնված հարցումով "մինչև ցանկացած հավելվածի կոդի գործարկումը": 8.1 և ավելի հին տարբերակներն այլևս չեն աջակցվում և պաշտոնական թարմացումներ չեն ստանում: Այնուամենայնիվ, հաշվի առնելով սխալների լրջությունը, PHP-ի թիմը հրապարակել է նվազագույն backport-ներ 7.4, 8.0 և 8.1 տարբերակների համար: Հարձակվողները կարող են նաև կարդալ աշխատանքային հիշողությունը, որտեղ կարող են պահվել գաղտնաբառեր, API բանալիներ և վկայագրեր: WordPress-ի նման հավելվածի թարմացումը չի թարմացնում դրա տակ գտնվող PHP runtime-ը:bleepingcomputer.com+1
Խոցելիությունները հայտնաբերել են Wiz-ը, Calif-ը և OpenAI-ի Codex Security թիմը: The Hacker News-ի համաձայն՝ հիմքում ընկած կոդը PHP-ում առկա է եղել ավելի քան մեկ տասնամյակ: Wiz-ը PHP2Shell-ը համեմատել է Heartbleed-ի և Log4Shell-ի հետ: Այն նշել է, որ արհեստական բանականության մոդելները "զգալիորեն նվազեցրել են" երկարատև խոցելիությունը աշխատող շահագործման վերածելու արգելքը: Մինչ թողարկումը, PHP-ի միջուկի մշակող Ջինա Պիտեր Բանյարդը զգուշացրել է, որ "միակ լուծումը PHP-ի թարմացումն է":thehackernews.com+1