Asosiy ma’lumotlar

  • «PHP2Shell» zaifligi kod va xotira boshqaruvidagi xatolar tufayli login va parolsiz masofadan kod bajarishga imkon beradi
  • AQSh FBI va NSA yangi zaifliklar haqida ogohlantirdi; Niderlandiya va Fransiya davlat saytlarining bir qismini o‘chirib qo‘ydi
  • Rasmiy patch chiqarildi, biroq tashkilotlar o‘zi ta’sirlangan tizimlarni topib, PHPni yangilashi kerak

PHPdagi kritik zaifliklar

Keng qo‘llaniladigan PHP dasturlash tilida butun dunyo raqamli infratuzilmasiga ta’sir etuvchi ikkita kritik zaiflik aniqlandi, bu esa turli mamlakatlardagi tashkilotlarni yangilanishlarni o‘rnatishga undadi. «PHP2Shell» deb nomlangan zaiflik kod va xotira boshqaruvidagi xatolar bilan bog‘liq bo‘lib, buzib kirilgan tizimlarda foydalanuvchi nomi yoki parol kiritmasdan kodni masofadan bajarish imkonini beradi.

Turli mamlakatlar hokimiyatining reaksiyasi

AQSh Federal tekshiruv byurosi (FBI) va Milliy xavfsizlik agentligi (NSA) yangi aniqlangan zaifliklar haqida jamoatchilikni ogohlantirdi. Niderlandiyada fuqarolik masalalari bo‘yicha xizmatlar ko‘rsatuvchi saytlar o‘chirib qo‘yildi, Fransiyada esa prefektura saytlariga nisbatan o‘xshash chora-tadbirlar kun tartibiga chiqdi. Daniya, Norvegiya, Finlyandiya, Yaponiya va Janubiy Koreya kiber-muhokama e’lon qilib, darhol yangilanishlar o‘tkazdi.

Turkiyadagi chora-tadbirlar

Turkiya Kiberxavfsizlik direktorati davlat muassasalariga va xususiy tashkilotlarga PHP infratuzilmasini himoyalangan versiyalarga o‘tkazishni topshirdi; butun mamlakat bo‘ylab xavfsizlik tekshiruvlari va texnik monitoring olib borilmoqda. Hokimiyat ma’lumotlariga ko‘ra, e-Government davlat portalini tekshiruv raqamli xizmatlar xavfsizligiga xavf soladigan muammolarni aniqlamadi.

Xavflarni baholash va tavsiyalar

Bu zaifliklar nozik ma’lumotlarni o‘z ichiga olgan saytlar uchun nazariy xavf tug‘diradi va ularning mavjudligi o‘zi shaxsiy ma’lumotlar buzilganini anglatavermaydi. Mutaxassislar oddiy foydalanuvchilarni raqamli xavfsizlikning asosiy chora-tadbirlariga rioya qilishga, biznes va muassasalarga esa qaysi ichki tizimlar PHPdan foydalanayotganini va qaysi versiya faol ekanini aniqlashga chaqirdi. Rasmiy patch allaqachon chiqarilgan, biroq ta’sirlangan tizimlarni aniqlash va PHPni himoyalangan versiyaga yangilash tashkilotlarning o‘z vazifasi bo‘lib qolmoqda. Mutaxassislar, shuningdek, global kirish talab etmaydigan ichki tizimlar va korporativ ilovalarga xalqaro veb-trafikni to‘liq blokirovka qilish va trafikga faqat ishonchli hamda ruxsat etilgan IP-manzillar uchun ruxsat berishni tavsiya qildi.