PHP Foundation-მა აღიარა, რომ შეფერხება სტრუქტურული ხარვეზით იყო გამოწვეული

PHP Foundation-მა განაცხადა, რომ PHP პროგრამირების ენაში ორი კრიტიკული ხარვეზიდან ერთის გამოსწორების შეფერხება იყო სტრუქტურული ხარვეზი. ამის შესახებ ფონდმა ოთხშაბათს, 21 ოქტომბერს, საგანგებო პატჩების გამოშვებისა და მსოფლიოს მასშტაბით მთავრობების მიერ ვებსაიტების პრევენციული გათიშვის შემდეგ განაცხადა, იუწყება Reuters-ი The Standard-ზე დაყრდნობით. ფონდის ცნობით, მკვლევარმა ხარვეზის პირველი ნიშნები 2024 წელს აღმოაჩინა, თუმცა მაშინ მისი გამოყენების კონკრეტული გზა ვერ დადგინდა და პრიორიტეტი სხვა, უფრო ნათელი გავლენის მქონე პრობლემებს მიენიჭაthestandard.com.hk.

თვეების განმავლობაში შეფერხებული გამოსწორება

LWN-ის მიერ მოყვანილ ბლოგპოსტში ფონდი აღნიშნავს, რომ მისმა უსაფრთხოების გუნდმა რამდენიმე კონკურენტული გადაწყვეტა შეიმუშავა. თითოეულს თავისი ფასი ჰქონდა: ერთი არღვევდა უკუთავსებადობას, მეორე ქმნიდა მომსახურებაზე უარის თქმის (DoS) ახალ რისკს, ხოლო მესამე მოითხოვდა მრავალი მესამე მხარის გაფართოების შეცვლას. გუნდი გადაწყვეტილებებს კონსენსუსით იღებდა და, როგორც წერენ, "შიშობდნენ არასწორი არჩევანის შედეგების გამო". ვინაიდან კოდის დისტანციური შესრულების გზა ცნობილი არ იყო, ხოლო ძირითად დეველოპერებს სხვა მრავალი მოვალეობა ჰქონდათ, მუშაობა თვეების განმავლობაში არაერთხელ შეჩერდა და განახლდა. "ჩვენ არ ვიმტკიცებთ საპირისპიროს: შეფერხება იყო სტრუქტურული ხარვეზი, რომელიც გამოწვეული იყო როგორც უსაფრთხოების გუნდის გადაწყვეტილების მიღების პროცესით, ისე რესურსების ნაკლებობით," – აცხადებენ ფონდშიlwn.net.

საკითხი 11 აგვისტოს კვლავ აქტუალური გახდა. იმ დღეს უსაფრთხოების ფირმამ Calif-მა და OpenAI-მ დამოუკიდებლად განაცხადეს ერთი და იმავე ძირეული მიზეზის შესახებ, ხოლო Calif-მა აჩვენა, რომ მას შეეძლო კოდის დისტანციურად გაშვება ყოველგვარი პირობების გარეშე, იუწყება Cointelegraph-ი. ფონდის თქმით, მას შემდეგ მათ უსაფრთხოების გადაწყვეტილებები კონსენსუსიდან უმრავლესობის კენჭისყრაზე გადაიტანეს და კიდევ ორი ინჟინერი დაიქირავეს. მათ ასევე მოუწოდეს კომპანიებსა და მთავრობებს, რომლებიც PHP-ზე არიან დამოკიდებულნი, დაეხმარონ უსაფრთხოების სამუშაოების დაფინანსებაში, იუწყება The Next Web-ი. რელიზი ერთი დღით ადრე გამოვიდა მას შემდეგ, რაც დაუცველობის იდენტიფიკატორები ინტერნეტში გავრცელდა, ხოლო ფონდმა გააკრიტიკა Chainguard-ი კოორდინირებულ რელიზამდე დაპატჩებული იმიჯების გამოქვეყნებისთვისtradingview.com+1.

გათიშული ვებსაიტები

ხარვეზები, რომლებსაც PHP2Shell უწოდეს, აღირიცხება როგორც CVE-2026-109618 და CVE-2026-109619. ისინი გამოსწორებულია PHP 8.5.12, 8.4.27, 8.3.36 და 8.2.35 ვერსიებში და პოტენციურად დაზარალებულია PHP-ის ყველა ინსტალაცია, რომელიც ვებ-მოთხოვნებს ემსახურება, იუწყება The Register-ი. აშშ-ის, დიდი ბრიტანეთის, კანადის, ავსტრალიისა და ევროკავშირის კიბერუსაფრთხოების სააგენტოებმა ვებსაიტების ოპერატორებს მოუწოდეს, გაეთიშათ საიტები განახლებამდე, იუწყება Cybersecurity Dive-ი. უსაფრთხოების ჟურნალისტმა ბრაიან კრებსმა შეაფასა, რომ ვებსაიტების თითქმის 70 პროცენტს განახლება სჭირდებაtheregister.com+2.

ნიდერლანდებმა თავისი ციფრული იდენტიფიკაციის სერვისი გათიშა. ფინეთის სახელმწიფო IT პროვაიდერმა Valtori-მ საჯარო ვებსერვისები გათიშა, ხოლო საფრანგეთმა დროებით გათიშა პრეფექტურების ვებსაიტები, იუწყება Cointelegraph-ი. Wikimedia Foundation-მაც გათიშა ზოგიერთი დამხმარე სერვისი. Coinbase ↗ 3.65%-მა განაცხადა, რომ მათ არ აღმოუჩენიათ PHP-ის დაუცველი ინსტანციებიtradingview.com.

აშშ-ის კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ (CISA) განაცხადა, რომ თავისი რეკომენდაციების გამოქვეყნებისას მას "არ შეუმჩნევია ამ დაუცველობების ექსპლუატაცია". თუმცა, სააგენტომ გააფრთხილა, რომ ისინი "რისკს უქმნიან ორგანიზაციებს, თუ არ იქნება გამოსწორებული," იუწყება Reuters-იthestandard.com.hk.