Asosiy ma’lumotlar
- PHPdagi php2shell deb nomlangan kritik zaifliklar ma’lum sharoitlarda serverlarda masofadan kod bajarish imkonini beradi
- Buyuk Britaniyada 32 davlat xizmati ishlamayapti, 4 tasi qisman; bu asosan ehtiyot chorasi deb atalmoqda
- Cloudflare ekspluatatsiya urinishlarining minglardan millionlargacha o‘sishini qayd etdi; muvaffaqiyatli buzib kirishlar hozircha xabar qilinmagan
Global favqulodda yangilanish o‘rnatish
Butun dunyo bo‘ylab tashkilotlar va kompaniyalar PHPda — veb-ishlanbada bir necha o‘n yildan beri keng qo‘llaniladigan dasturlash tilida — kritik zaifliklar aniqlangandan so‘ng tizimlarini favqulodda yangilashda davom etmoqda. Chorshanba va payshanba kunlari PHP ishlab chiquvchilari «kritik zaifliklar» haqida xabar berganidan keyin dunyodagi ko‘plab saytlar vaqtincha o‘chirildi. Tadqiqotchilar «jiddiy» zaifliklar tuzatilmasa millionlab saytlarni buzib kirish xavfiga duchor qilishi mumkinligidan ogohlantirdi. Muvaffaqiyatli hujumlar hozircha qayd etilmagan, biroq mutaxassislar oqibatlar uzoq vaqt — hatto oylab namoyon bo‘lishi mumkinligini ta’kidlayapti.
Buyuk Britaniya hukumatidagi o‘chirishlar
Dauning-strit payshanba kuni xavfsizlik ishlari olib borilayotgan paytda «ayrim» cheklangan davlat xizmatlari «ishlamasligi mumkin»ligini ma’lum qildi. Texnologiyalar vaziri baronessa Lloyd of Effra Lordlar palatasiga 32 davlat xizmati ishlamayotganini va yana to‘rttasi qisman ishlamayotganini aytdi. Uning so‘zlariga ko‘ra, bu yangilanishlar o‘rnatilayotgan paytdagi «asosan ehtiyot choralarining natijasi». Hukumat qaysi xizmatlar o‘chirilganini aniqlamadi, biroq Buyuk Britaniyaning yirik ommaviy kritik xizmatlari zarar ko‘rmaganini bildirdi. Hukumat vakili potensial zaifliklarni aniqlash va bartaraf etish ishlari allaqachon olib borilayotganini, mutaxassislar «OpenAI va xalqaro hamkorlar bilan yaqin hamkorlikni davom ettirayotganini» qayd etdi. U bu «ular buzib kirilgani degani emas»ligini qo‘shdi.
Mutaxassislar reaksiyasi va nosozlik misollari
Milliy kiberxavfsizlik markazi (NCSC) texnik direktori Ollie Whitehouse voqeani «misli ko‘rilmagan» deb atadi va uning oqibatlarini «hamma sezadi» deb taxmin qildi, biroq muvaffaqiyatli buzib kirish belgilari yo‘qligini ta’kidladi. Uning so‘zlariga ko‘ra, NCSC zarar ko‘rganlarga berilgan tavsiyalar qabul qilingani va bajarilayotgani haqidagi tasdiqlarni olishni boshlagan. Kiberxavfsizlik bo‘yicha o‘qituvchi Rory Hopcraft BBCga hukumat o‘z infratuzilmasini dolzarb holatda saqlashi kerakligini, chunki u «boshqa tashkilotlar uchun qoidalar belgilaydi», degan edi. Chepstowdagi (Uels) avtoservis egasi Dean Presley tizimi chorshanbadan beri ishlamayotgani uchun texko‘rikni onlayn to‘liq rasmiylashtira olmasligini xabar qildi: MOT qonuniy o‘tkazilsa-da, hujjatlar va sertifikatlar chop etilmayapti, shu sababli hamma narsani qog‘ozda yuritishga to‘g‘ri keladi, bu esa mijozlarni kechiktirmoqda.
PHP va php2shell zaifligi nima
PHP (PHP: Hypertext Preprocessor) — veb-serverda ishlaydigan va foydalanuvchi ko‘radigan sahifalarni shakllantiruvchi dasturlash tili. U 1990-yillar boshida dinamik veb-sahifalar uchun yaratilgan bo‘lib, hozirgacha Wikipedia, onlayn do‘konlar va WordPress kabi ko‘plab platformalar, shuningdek Laravel, Symfony va Drupal freymvorklari asosida turadi. Zaifliklarni aniqlashda qatnashgan Wiz kompaniyasi ma’lumotlariga ko‘ra, PHP dunyodagi saytlarning taxminan 70%ida ishlaydi. php2shell deb nomlangan zaiflik tilning o‘ziga xos bo‘lib, ko‘plab eski versiyalarga ta’sir qiladi. PHP fondi ma’lum sharoitlarda autentifikatsiyadan o‘tmagan hujumchi PHP o‘rnatilgan serverlarda masofadan kod bajarishi mumkinligidan ogohlantirdi. Zaiflik Calif va Wiz tadqiqotchilari tomonidan, jumladan OpenAI vositalaridan foydalanib aniqlangan; PHP fondi uning imkoniyatini yana 2024-yilda nazariy jihatdan taxmin qilgan edi.
Hujum urinishlarining o‘sishi va tiklanish jarayoni
Cloudflare bosh direktori Matthew Prince X tarmog‘ida ommaviy e’londan 10 soat oldin kompaniya o‘z tarmog‘ida zaiflikni ekspluatatsiya qilish urinishlarining «minglab»ini qayd etganini, e’londan keyingi 45 daqiqada — o‘n minglab, ikki soat ichida — yuz minglab, hozir esa — millionlab urinishlar qayd etilayotganini yozdi. Amazon ham hujumchilarning zaiflikdan foydalanish urinishlari haqida xabar berdi, biroq uning saytlari normal ishladi. Gollandiya kiberxavfsizlik agentligining sayti, Finlyandiya hukumati saytlari va Wikipedia qismlari — chorshanba kuni vaqtincha o‘chirilgan — payshanba kunga normal ishlashga qaytdi. Fransiyaning Orange telekommunikatsiya kompaniyasi tuzatishlar o‘rnatilayotgan paytda butun dunyo bo‘ylab ayrim xizmatlarga kirishni vaqtincha to‘xtatganini ma’lum qildi. Zaif serverlarni skanerlayotgan tadqiqotchilar ma’lumotlariga ko‘ra, tashkilotlar patchlarni o‘rnatmoqda, biroq xohlagancha tez emas. NCC Group kompaniyasidan Matt Hull «reaksiya oynasi keskin qisqardi» deb ta’kidladi: agar ilgari zaiflikni ekspluatatsiya qilish haftalar olishsa, endi kunlar yoki soatlar oladi. U, shuningdek, mutaxassislar orasida charchoq xavfi haqida ogohlantirdi va «tanaffuslar qilish, yuklamani taqsimlash va bir-biriga g‘amxo‘rlik qilish»ga chaqirdi, barqarorlik texnologiyalar qadar odamlarga ham bog‘liqligini ta’kidladi.
Tasvir manbasi, Getty Images Calif va Wiz kiber tadqiqotchilari PHP Foundation tomonidan 2024-yilda taxmin qilingan php2shell zaifligini qisman OpenAI vositalari yordamida aniqladilar
