FBI ორგანიზაციებს PHP-ის კრიტიკული ხარვეზების სასწრაფოდ გამოსწორებისკენ მოუწოდებს

მთავრობები და კომპანიები მთელი კვირის განმავლობაში მუშაობდნენ PHP-ის ორ კრიტიკულ ხარვეზზე, რომელიც იმ პროგრამირების ენას უკავშირდება, რომელზეც ვებგვერდების 70%-მდეა აგებული. მკვლევრებმა ხარვეზები ხელოვნური ინტელექტის დახმარებით აღმოაჩინეს, ხოლო ინფორმაციის გავრცელების შემდეგ თავდასხმების მცდელობები მკვეთრად გაიზარდა. ზოგიერთმა კიბერუსაფრთხოების ექსპერტმა ამ პერიოდს "შავი ოქტომბერი" უწოდა, იტყობინება CNBC.cnbc.com

ხარვეზები აღირიცხება როგორც CVE-2026-109618 და CVE-2026-109619 და ცნობილია როგორც "PHP2Shell". მათ შეუძლიათ თავდამსხმელებს სისტემაში შესვლის გარეშე კოდის გაშვების საშუალება მისცენ. Newsweek-ის ცნობით, PHP-მ 21 ოქტომბერს 8.2-დან 8.5-მდე ვერსიებისთვის შესწორებები გამოუშვა. პარასკევს გავრცელებულ განცხადებაში FBI-მ აღნიშნა, რომ "უსაფრთხოების განახლებები ხელმისაწვდომია და ისინი დაუყოვნებლივ უნდა იქნას გამოყენებული."time.com+1

გაფრთხილებები და შეფერხებები

Nextgov-ის ცნობით, ოთხშაბათს NSA-მ, FBI-მ და CISA-მ ორგანიზაციებს მოუწოდეს, სასწრაფოდ დააინსტალირონ განახლებები, ხოლო თუ ეს შეუძლებელია, სისტემები გათიშონ. The Hill-ის თანახმად, NSA-მ განაცხადა: "ეს მოწყვლადობები ხშირად პირდაპირ გზას უხსნის სერვერის ფაილურ სისტემასთან ან მონაცემთა ბაზასთან."nextgov.com+1

AP-ის ცნობით, ბრიტანეთის, ფინეთისა და იაპონიის სამთავრობო ვებგვერდებზე შეფერხებები ან მომსახურების შეზღუდვა დაფიქსირდა. ნიუ-იორკში, ბრუმის ოლქმა პარასკევს საკუთარი ვებგვერდი "სიფრთხილის მიზნით" გათიშა. ოლქის ხელმძღვანელმა ჯეისონ გარნარმა არ დააკონკრეტა, როდის აღდგება საიტის მუშაობა, იტყობინება WSKG.wskg.org+1

როგორ აღმოაჩინეს ხარვეზები

Wiz არის უსაფრთხოების ფირმა, რომელიც Google Alphabet Inc. ↘ 12.47%-ის საკუთრებაშია. აგვისტოში Wiz-ის მკვლევარმა საგი ცადიკმა ხელოვნური ინტელექტის აგენტს სთხოვა, WordPress-ის ექსპლოიტი Drupal-ისთვის მოერგო. აგენტმა დავალება ვერ შეასრულა, თუმცა აღმოაჩინა PHP-ის ხარვეზი, რომელიც ათწლეულზე მეტია შეუმჩნეველი იყო, იტყობინება TIME. პარალელურად, ფირმა Calif-მა, OpenAI-თან თანამშრომლობით, მსგავსი ხარვეზი იპოვა. დაახლოებით 15-კაციანმა ჯგუფმა ერთობლივად იმუშავა გამოსწორებაზე.time.com

ხარვეზების შესახებ ინფორმაცია დაგეგმილ განახლებამდე ორი დღით ადრე გავრცელდა, ამიტომ PHP-ის შემქმნელებმა შესწორება ერთი დღით ადრე გამოუშვეს. რამდენიმე საათის შემდეგ Calif-მა შეცდომით გამოაქვეყნა ვიდეო თავისი ექსპლოიტით. TIME-ის ცნობით, Cloudflare ↘ 2.64%-მა საჯარო განცხადებიდან 45 წუთში ათიათასობით, ხოლო საბოლოოდ მილიონობით თავდასხმის მცდელობა დააფიქსირა. PHP-ის ფონდის განცხადებით, პრობლემა სულ მცირე 2024 წლიდან იყო ცნობილი და დაყოვნებას "სტრუქტურული მარცხი" უწოდა, იტყობინება AP.apnews.com+1

რჩევები მომხმარებლებისთვის

ექსპერტები ამბობენ, რომ ძირითადი პასუხისმგებლობა იმ კომპანიებს ეკისრებათ, რომლებიც ვებგვერდებს მართავენ, თუმცა ინდივიდებსაც შეუძლიათ თავის დაცვა. Trail of Bits-ის დენ გვიდომ რეკომენდაცია გასცა, რომ ადამიანებმა "ჩართონ ავტომატური განახლებები ტელეფონებზე, კომპიუტერებსა და სახლის როუტერებზე." სხვებმა რეკომენდაცია გაუწიეს მრავალფაქტორიანი ავთენტიფიკაციისა და თითოეული საიტისთვის განსხვავებული პაროლის გამოყენებას, იტყობინება Samaa TV. "თქვენ ვერ განაახლებთ თქვენი საავადმყოფოს ვებგვერდს," – თქვა გვიდომ.samaa.tv

CISA-ს ყოფილმა დირექტორმა კრის კრებსმა მცირე კომპანიებს მოუწოდა, "მუდმივად" შეამოწმონ მოწყვლადობები და რაც შეიძლება სწრაფად დააინსტალირონ განახლებები. "ეს კიბერუსაფრთხოების კუთხით მნიშვნელოვანი კვირა ან ორი კვირაა," – განუცხადა მან CNBC-ს.cnbc.com