Asosiy ma’lumotlar
- Bahosi 9,2/10 bo‘lgan ikkita PHP zaifligi avtorizatsiyasiz kod bajarish imkonini beradi; 5.4–8.5.11 versiyalari ta’sirga uchragan
- PHP 8.5.12, 8.4.27, 8.3.36 va 8.2.35 yamalari 21-oktabrda chiqarildi; to‘liq chetlab o‘tish vositalari yo‘q
- Zaifliklarni SI vositalari topdi (Califda GPT-5.6 Sol, Wizda bir nechta vosita); Cloudflare tafsilotlar oqib ketganidan keyin hujumlar haqida xabar berdi
PHPdagi kritik zaifliklar
Tadqiqotchilar millionlab saytlar, jumladan WordPress, Drupal, Joomla va MediaWiki (Vikipediya dasturi) platformalari ishlaydigan PHP dasturlash tilida ikki kritik zaiflikni aniqladi. W3Techs ma’lumotlariga ko‘ra, PHP ma’lum server tiliga ega saytlarning taxminan 69 foizida ishlatiladi. Zaifliklar CVE-2026-109618 va CVE-2026-109619 identifikatorlarini oldi; Google Cloud texnik tahlili har biriga 10 balldan 9,2 kritik baho beradi. Ikkalasi ham ma’lum xatolarda xotirani qayta ishlash bilan bog‘liq: biri so‘rovning ichki ma’lumotlari qisman ishga tayyorlanib qolgan xotira yetishmasligi holatiga, ikkinchisi esa xotira bo‘shatilgandan keyin unga murojaat qilishga tegishli. Maxsus tayyorlangan so‘rovlar yuborib, hujumchi tizimga kirmasdan serverda o‘z kodini bajarishi mumkin, bu ma’lumotlarni o‘g‘irlash, saytlar mazmunini o‘zgartirish yoki serverdan boshqa tizimlarga hujum qilish uchun foydalanish imkonini beradi.
Muammoning qamrovi
Wiz kompaniyasi zaifliklar o‘n yildan ortiq vaqt oldin chiqarilgan PHP 5.4 dan boshlab versiyalarga ta’sir qilishini xabar qildi; Google Cloud PHP 5.4 dan 8.5.11 gacha diapazonni ko‘rsatadi, Cloudflare esa PHP 5.4 va undan yangi serverlar zaifligini tasdiqladi. Bu har bir sayt xavf ostida ekanligi yoki barcha konfiguratsiyalar bir xil darajada ekspluatatsiya qilinishi oson ekanligini anglatmaydi: PHP dasturchilari veb-so‘rovlarni qayta ishlaydigan o‘rnatishlar xavf ostida ekanini, ayrim konfiguratsiyalar esa ayniqsa zaif ekanini bildirdi. Zaif tilning o‘zi bo‘lgani uchun WordPress plaginlari va temalarini yangilash muammoni hal qilmaydi — PHPning o‘zini yangilash kerak.
Reaksiya va yamalar
PHP dasturchilari chorshanba kuni to‘rtta tuzatilgan versiyani chiqardi: PHP 8.5.12, 8.4.27, 8.3.36 va 8.2.35, barcha foydalanuvchilarni zudlik bilan yangilanishga chaqirdi. Ular «to‘liq yumshatish choralari yo‘q» deb ogohlantirdi, ya’ni vaqtinchalik chetlab o‘tish yechimlari yangilanish o‘rnatishni almashtirmaydi. Cloudflare ma’lumot ommaviy e’lon qilinishidan oldin veb-ilovalar firewall qoidalarini joriy qilganini xabar qildi. AQSH, Britaniya, YI va Avstraliya idoralari shoshilinch ogohlantirishlar chiqardi: AQSH NSA tizimlarni yangilashni yoki zudlik bilan yangilab bo‘lmaydiganlarini vaqtincha o‘chirib qo‘yishni maslahat berdi; britaniyalik NCSC xuddi shunday tavsiyalar berdi, YI organlari esa zudlik bilan yamalashga, internetdan ochiq tizimlarga ustuvorlik berishga chaqirdi. Ayrim tashkilotlar ehtiyot chorasi sifatida saytlarni vaqtincha o‘chirib qo‘ydi. Yangi Zelandiya NCSC payshanba kuni faol ekspluatatsiya belgilari haqida bilishini xabar qildi.
SI roli va tafsilotlar oqishi
Zaifliklarni Calif va Wiz kompaniyalari tadqiqotchilari SI yordamida topdi. OpenAI Calif GPT-5.6 Sol modeli yordamida xavfsizlik tashabbusi doirasida kritik zaiflikni aniqlaganini, Wiz esa bir nechta SI vositalaridan foydalanib zaifliklarni mustaqil topganini xabar qildi. Kod xatolari o‘zlari yillar davomida mavjud edi, lekin haqiqiy hujumni namoyish qilish batafsil texnik ishni talab qilardi: Wiz ma’lumotlariga ko‘ra, bitta tadqiqotchi buni taxminan bir haftada bajardi, bundan oldin esa bu mutaxassislar jamoasi uchun oylar olishi mumkin edi. OpenAI bu topilmani «so‘nggi vaqtdagi eng muhim xavfsizlik masalalaridan biri» deb atadi. Tadqiqotchilar va PHP dasturchilari bir necha hafta davomida maxfiy tarzda muvofiqlashtirildi, lekin rejalashtirilgan e’londan biroz oldin tafsilotlar oqib ketdi. Cloudflare shundan so‘ng mijozlariga qarshi hujum trafini va himoyani chetlab o‘tishga urinishlarda hujumchilar taktikasining o‘zgarishini qayd etganini xabar qildi.
Xavflar va tavsiyalar
Mutaxassislar himoyachilarga yordam bergan xuddi shu SI vositalari zaifliklarni ekspluatatsiya qilishni hujumchilar uchun tezlashtirishi va arzonlashtirishi mumkinligi haqida ogohlantirmoqda: ma’lumot oshkor qilingandan keyin SI ekspluatlarni tezroq yozish va hujumlarni moslashtirishga yordam berib, zaiflikni aniqlash va uning ommaviy ekspluatatsiyasi o‘rtasidagi davr — shunday deb ataladigan himoyachi oynasini qisqartirishi mumkin. Tashkilotlarga PHP o‘rnatishlarini aniqlash, ularni zudlik bilan tuzatilgan versiyalarga yangilash, internetga ochiq tizimlarga ustuvorlik berish va buzilish belgilarini kuzatish tavsiya etildi; tez yamalash imkoni bo‘lmasa — zaif xizmatlarni vaqtincha o‘chirib qo‘yish kerak. Oddiy foydalanuvchilar zaiflikni to‘g‘ridan-to‘g‘ri tuzata olmaydi — mas’uliyat sayt operatorlari va xosting provayderlariga yuklanadi; ularga xizmatlar bildirishnomalarini kuzatish, tegishli ko‘rsatmalar bo‘yicha parollarni o‘zgartirish va voqea atrofidagi rezonansdan foydalanadigan fishingdan ehtiyot bo‘lish maslahat beriladi.
